Обратил внимание на это 'user'@'%'? это значит что юзеры могут подключаться с любого хоста.

Программа написана на Delphi то есть в процессе написания.

Хотя на счет 3 звенной авторизации идея хороша!

Пользователь не имеет пароля к БД но имеет пароль авторизации, который в месте с логином отправляется в скрипт кторый в свою очередь возвращается пароль к БД и программа коннектиться.


плюсы: человек не сможет подключится к БД тк этот пароль не является паролем БД.
минусы: снифер еще ни кто не отменял, проще будет получить даже чем из зашифрованного экзешника. сложно будет поддерживать много пользователей.

Так народ, хорошие идеи стали появляться)) Высказываем не стесняемся)

Это сообщение отредактировал(а) RinOSpro - 24.4.2009, 16:29

Честно скажу, я с MySql в таком плане работал. А вообще, я подразумевал, что можно выдать права на SELECt из вьюх/хранимов, не давая юзерам прав на чтение таблиц. А для вьюх и хранимок выдать права на работу с таблицами. Модификация данных через триггеры/хранимки (если в MySql такое есть).

Ещё возможен вариант, когда пользователь вводит пароль, пароль шифруется(или тупо берётся хэш) каким-то образом, и к БД подключается уже с помощью зашифрованного пароля. Но при создании пользователя/смене пароля, введённый пользователем пароль тоже должен быть зашифрован. Таким образом, зная свой пароль пользователь может войти в программу, но не может подключится к БД, потому что работа с БД ведётся уже через другой пароль. Который, зная алгоритм, может быть получен из пользовательского.

Bose да тоже не плохой вариант  Но даже я с моими примитивными знаниями отладчика могу вытащить пароль (( тк в login password компанента ADOConnection будет подсовываться уже расшифрованный пароль. Это и можно будет подсмотреть ((

Это сообщение отредактировал(а) RinOSpro - 27.4.2009, 09:36

Нет. Идея в том, что зашифрованный пароль передаётся прямо на сервер. И пароль нигде не расшифровывается. 

+ т.е. на сервере хранятся сами хеши или другие зашифрованные пароли.

Bose хм... тогда я ни чего не понял... Вот смотри есть ADOConnection там есть параметры login password. И куда подсовывать зашифрованнный пароль?

Например:

Есть юзер, который знает свой логин: user1 и пароль test1
Есть функция шифрующая пароль. Зашифрованный пароль test1 будет выглядеть например так: 1tset.

В базе данных создаётся аккаунт для этого пользователя:
логин: user1
пароль: 1tset (уже зашифрованный)

Получается, программа стартует, юзер вводит логин: user1 и пароль: test1. Программа шифрует этот пароль и получает 1tset. В ADOConnection передаётся user1  и 1tset. Получается, что если юзер подключается к БД через программу, то всё ок. А если захочет напрямую, то ничего у него не выйдет.

Bose, так ведь в екзешнике пароль этот посмотреть можно...
RinOSpro, наверное, это имеет ввиду...

Мне кажется, Bose имеет ввиду шифрование паролей пользователей, а не соединения ADO.

Добавлено через 2 минуты и 12 секунд

В этом случае есть 2 варианта:

• шифрование самого EXE;
• задание пароля ADOConnection при загрузке приложения, а не в IDE. Как вариант - тоже в зашифрованном виде.

Kbl4AH в точку =) В отладчике можно будет увидеть это зашифрованный пароль.

Bose когда я на лету буду шифровать и передавать в ADOConnection пароль то человек отлаживающий программу скажем через OllyDbg тоже ее увидит 1tset тот самый пароль передающийся на сервер.

Но в целом очень даже не плохой метод =) Легко реализуемый.

Ну знаешь со всех сторон соломки не подстелишь!  

И вообще, какова вероятность того, что кто-то из пользователей:
1) умеет пользоваться phpMyAdmin
2) догадается каким образом сделана защита
3) будет специально дебажить программу в OllyDbg(кстати, а как им пользоваться  ) для того, чтобы узнать пароль?
4) будет иметь время и желание для того чтобы этим заниматься
5) всё вышеперечисленное вместе взятое


В том и прелесть, что легко реализуемый. 

Bose я боюсь утечки пароля), а уж желающие поломать найдутся)) специфика ПО такая))

Ну может в голове у когото родилась еще какая гениальная идея? ))

Тогда как вариант - сервер приложений. Пароль передаётся туда и шифруется уже там. В этом случае доступ к базе данных вообще можно закрыть снаружи.

Не совсем понял смысл "сервера приложений"...
Ты предлагаешь 3-х звенную архитектуру? Типа DataSnap, SOAP? Нет такой вариант не подходит.

Единственное что возможно так это криптор написанный на php (хотя бы скроем алгоритм шифрования) что бы усложнить жизнь взломщикам.


Это сообщение отредактировал(а) RinOSpro - 30.4.2009, 16:02

да. ну как знаешь.