Как защитить данные подключения к базе данных от хакера ресурсов?

Question

Мое приложение написано с использованием: Embarcadero Delphi 2010
У меня есть форма с именем INCLUDEFORM, которую я включил во все другие формы, эта форма содержит TSQLQuery и TSQLConnection, которые содержат сведения о соединении с базой данных (db host, db name, db user, и db pass), которые определены во время разработки.

Вчера я установил программное обеспечение с именем (Resource Hacker), я попытался открыть приложение с помощью этого программного обеспечения, и когда я искал ресурсы, я видел все формы в своем приложении, включая includeform, я нажал в include формы, чтобы увидеть источник кода, и я увидел все детали источника кода и детали соединения daabase.

Я попытался открыть другие подобные приложения для моего использования хакером ресурсов, но я не видел никаких важных деталей, только значок, группа значков и информация о версии.

Возможно, можно зашифровать мой исходный код из Resource Hacke или, по крайней мере, код в INCLUDE FORM, который содержит важные сведения о соединении с базой данных.

Thankyou

Answer 1

Вы можете установить строку соединения во время создания, внутри кода и обфускации/шифрования строки, которая используется, а не оставлять ее во время разработки. Как правило, я не использую соединение с живой базой данных в своей разработке, а соединение с тестовой базой данных, которая, как правило, более ограничена доступом, чем производственная база данных, например. за брандмауэром, внутри шлюза NAT.

Простые механизмы обфускации включают выполнение XOR строки. Более сложные методы, такие как шифрование, требуют добавления библиотек для выполнения шифрования/дешифрования.

Если вы просто пытаетесь защитить строку соединения, эти методы просты в достижении. Если вы пытаетесь выполнить полное обфускацию/шифрование данных формы, то использование пакетов, таких как UPX, является самым простым механизмом, но опять же тривиально работать.

В целом, все, что вы делаете, вероятно, только задерживает получение строки подключения для базы данных - это связано с природой программных защит - поскольку у вас есть все, что необходимо для выполнения соединения, это всего лишь вопрос времени и усилий, прежде чем информация будет раскрыта.

Если вы действительно хотите, чтобы защитить подключение к базе данных, то вам необходимо иметь комбинацию имени пользователя/пароль для каждого пользователя, и требуют этих данных для ввода во время выполнения

Answer 2

Самый простой и дешевый способ UPX, но это также легче взломать. Это, однако, сделает все ваши ресурсы невидимыми для случайного просмотра.

Сказав это, есть готовые распаковщики для большинства продуктов, которые также предназначены для защиты от хакеров, поэтому вам нужно подумать о том, сколько денег вы готовы потратить, и уровень защиты, который вы получаете.

Answer 3

Вы никогда не должны хранить данные подключения внутри приложения, тем более что они могут (и пароль) меняться. Вы можете:

• Если ваша база данных позволяет это использовать, используйте аутентификацию операционной системы, клиент базы данных будет использовать токен безопасности пользователя процесса для аутентификации с базой данных.Oracle, SQL Server и другие имеют такую ​​функциональность.
• Запросить информацию, когда пользователь подключается. Если вы сохраняете свой пользователь/пароль внутри исполняемого файла, у него вообще нет пользователя/пароля. В связи с этим вы можете установить базу данных с известным пользователем и без пароля, а уровень безопасности будет таким же.
• Храните эти данные где-нибудь в зашифрованном виде. Конечно, теперь вы должны безопасно хранить ключ шифрования. Вы можете использовать средства шифрования Windows (которые могут шифровать/дешифровать данные с использованием учетной записи пользователя или машины), или вам (или вашему пользователю) необходимо правильно сохранить этот ключ.