ReSQL.ru
     
powered by simpleCommunicator - 2.0.51     © 2025 Programmizd 02
Мобильная версия    Контакт    Правила    FAQ    Помощь
Доб. в избранное | Игнор. тему | Прикреп. тему | Пометить прочит. / непрочит. | Фильтр
Форумы / Разработка информационных систем [игнор отключен] [закрыт для гостей] / Авторизация пользователей в корп.сист. Как?
18 сообщений из 43, страница 2 из 2
  2  все
Авторизация пользователей в корп.сист. Как?
    #34914181
egorych
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
egorych
Участник
Bibber1. для работы нужно использовать SQL-аутентификацию

2. нужно иметь таблицу пользователей. в которой хранить SQL-логин пользователя, NT-логин, и пароль. пароль нужно хранить зашифрованный.

3. при старте приложения, используя windows-аутентификацию пользователь коннектится к БД. на сервере заведена группа Domain users которая не имеет никаких прав кроме запуска
единственной процедуры, которая по system_user тянет SQL-логин пользователя и зашифрованный пароль пользователя.

4.приложение расшифровывает пароль пользователя и производит коннект к бд используя SQL-аутентификацию (получение логина и пароля описано в пунктах 1-3)

5. для упрощения все SQL-логины имеют одинаковые права (дба-давать не стоит, но те которые нужны выдать)
6. создание SQL-логина происходит из самописной системы-авторизации. в нее заводится новый пользователь. ему создается логин. пароль шифруется и записывается в таблицу пользователей.
7. вся авторизация происходит на уровне приложения

8. коннект от SQL-пользователя к БД возможно осуществить только из приложения (так как никто кроме него не умеет расшифровывать пароль).вот это велосипед! я в восхищении... аплодисменты!
...
Рейтинг: 0 / 0
02.11.2007, 17:50
| Ответить | Цитировать | Написать  
Авторизация пользователей в корп.сист. Как?
    #34914224
Фотография softwarer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
softwarer
Участник
Bibberвы сомневаетесь в том, что программными средствами возможно зашифровать пароль так, что не зная ключа его будет трудно расшифровать за короткий срок?
Я восхищаюсь наивностью авторов подобных схем и подобных утверждений.

Расскажу одну историю. Была одна программа, публиковавшая хорошие и нужные данные через кривой и неудобный интерфейс. Данные она держала в зашифрованных файлах; при считывании расшифровывала, при записи, само собой, шифровала. Схема шифрации была крайне муторной, явно рассчитанной на то, чтобы взломщик заманался ее воспроизводить.

Все, что я сделал с этой программой - подключил к ней небольшой блок, который дал ей загрузиться, инициализировать криптосистему итп. После чего перехватил управление и для каждого файла данных:

- читал блок, используя стандартную подпрограмму чтения (с расшифровкой)
- записывал блок мимо подпрограммы шифровки/записи.

Вот и все. Если мне не изменяет память, на все и про все - часа полтора работы.
...
Рейтинг: 0 / 0
02.11.2007, 18:01
| Ответить | Цитировать | Написать  
Авторизация пользователей в корп.сист. Как?
    #34914305
Bibber
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Bibber
Гость
автор топика спросил, я написал как сделал бы я.

даже если злоумышленник получит доступ к коннекшину, то это будет доступ к его коннекшину.
он как минимум должен быть пользователем этой системы.
...
Рейтинг: 0 / 0
02.11.2007, 18:29
| Ответить | Цитировать | Написать  
Авторизация пользователей в корп.сист. Как?
    #34914351
Фотография softwarer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
softwarer
Участник
Bibberдаже если злоумышленник получит доступ к коннекшину, то это будет доступ к его коннекшину.
Если хранимка не будет сделана столь же безответственным разработчиком и не предоставит ему пароли от чужих аккаунтов.

Bibberон как минимум должен быть пользователем этой системы.
И? Я выделил у Вас конкретное утверждение, которое вызывает.. скепсис, назовем так. Хотите сказать, что лужа на полу - нестрашно, и ее можно быстро затереть шваброй? Ну дык когда речь захотит о "пользователь не имеет прямого коннекта к БД" - всегда выясняется, что безопасность у приложения хреновая, и добившись этого коннекта, он может наворотить много чего интересного.
...
Рейтинг: 0 / 0
02.11.2007, 18:43
| Ответить | Цитировать | Написать  
Авторизация пользователей в корп.сист. Как?
    #34914433
Bibber
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Bibber
Гость
2softwarer,

конечно все зависит от реализации.

правильно я понимаю, что вы рекомендуете использовать windows-аутентификацию и управлять правами на уровне сервера?
так в этом случае тоже все зависит от разработчиков. и от того как они распределяют доступ к объектам и данным на уровне БД.
...
Рейтинг: 0 / 0
02.11.2007, 19:27
| Ответить | Цитировать | Написать  
Авторизация пользователей в корп.сист. Как?
    #34914572
Фотография softwarer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
softwarer
Участник
Bibberправильно я понимаю, что вы рекомендуете использовать windows-аутентификацию
Нет. Я нигде не упоминал способ аутентификации и не готов обсуждать их сравнительные достоинства.

Bibberи управлять правами на уровне сервера?
Да.

Bibberтак в этом случае тоже все зависит от разработчиков.
Верно. Вот только Вы смикшировали - от каких именно разработчиков. В одном случае - от разработчиков, имеющих прямой коммерческий интерес думать о безопасности, бюджет на привлечение авторитетных специалистов в этой области и время на тщательное тестирование решения. И на прикладном уровне остается только не испортить их усилия....
...
Рейтинг: 0 / 0
02.11.2007, 21:13
| Ответить | Цитировать | Написать  
Авторизация пользователей в корп.сист. Как?
    #34914634
Bibber
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Bibber
Гость
И на прикладном уровне остается только не испортить их усилия....
====
не испортить усилия как? не выкладывать в сетку файл с паролем sa? :)
...
Рейтинг: 0 / 0
02.11.2007, 22:02
| Ответить | Цитировать | Написать  
Авторизация пользователей в корп.сист. Как?
    #34914637
Bibber
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Bibber
Гость
2softwarer:
я понял, что вы хотели сказать своими постами в ответ на мои:
что разработку софта нужно доверять только профессиональным softwarer'ам :)
...
Рейтинг: 0 / 0
02.11.2007, 22:08
| Ответить | Цитировать | Написать  
Авторизация пользователей в корп.сист. Как?
    #34914659
Фотография softwarer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
softwarer
Участник
Не совсем так. Я хотел подчеркнуть примерно следующее: если среднестатистическому гражданину предложить выйти на пару раундов против чемпиона мира в тяжелом весе, он скорее всего трезво оценит свои шансы. Но стоит сделать последствия чуть менее непосредственными - как из-под земли возникает изумительный по силе и качеству оптимизм.
...
Рейтинг: 0 / 0
02.11.2007, 22:35
| Ответить | Цитировать | Написать  
Авторизация пользователей в корп.сист. Как?
    #34917794
мод
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
мод
Участник
softwarerВсе, что я сделал с этой программой - подключил к ней небольшой блок
Кто же это вас допустил до программы ?
...
Рейтинг: 0 / 0
06.11.2007, 10:14
| Ответить | Цитировать | Написать  
Авторизация пользователей в корп.сист. Как?
    #34918843
Фотография softwarer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
softwarer
Участник
мод softwarerВсе, что я сделал с этой программой - подключил к ней небольшой блок
Кто же это вас допустил до программы ?
А кто бы меня к ней не допустил? Предлагаете поставить у каждого терминала по охраннику, знающему слово "дизассемблер"?
...
Рейтинг: 0 / 0
06.11.2007, 14:05
| Ответить | Цитировать | Написать  
Авторизация пользователей в корп.сист. Как?
    #34918971
мод
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
мод
Участник
softwarerА кто бы меня к ней не допустил? Предлагаете поставить у каждого терминала по охраннику, знающему слово "дизассемблер"?
Хорошая оговорка - именно терминал.
...
Рейтинг: 0 / 0
06.11.2007, 14:37
| Ответить | Цитировать | Написать  
Авторизация пользователей в корп.сист. Как?
    #34919026
Фотография softwarer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
softwarer
Участник
модХорошая оговорка - именно терминал.
И?

В том конкретном случае меня бы это не остановило - поскольку работа делалась по заказу "фирмы, ставящей охранников". А если смотреть глобально - терминал и прочее хорошая и правильная мысль, но очень часто такими решениями пытаются прикрыть откровенные дыры на заднице, и ничего достойного, профессионального в этом нет. Это тривиальное переваливание ответственности - мол, мы даже и не пытались защититься, а если все лопнуло, так это проблема админов, охраны, кого угодно, только не наша.
...
Рейтинг: 0 / 0
06.11.2007, 14:48
| Ответить | Цитировать | Написать  
Авторизация пользователей в корп.сист. Как?
    #34919236
Фотография proposed amendment
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
proposed amendment
Участник
softwarerприкрыть откровенные дыры на заднице.

кхм... не смотря на всю экспрессию выражения, выглядит неуместно и пережато... от того, вероятно, скорее бессмысленно-комично чем убедительно...

ИМХО дурной оборот...

в следующий раз добавьте еще "зияющие" (для усиления эффекта)

PS

:)
...
Рейтинг: 0 / 0
06.11.2007, 15:30
| Ответить | Цитировать | Написать  
Авторизация пользователей в корп.сист. Как?
    #34919571
Фотография softwarer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
softwarer
Участник
Не путайте предлоги "на" и "в" :)
...
Рейтинг: 0 / 0
06.11.2007, 16:36
| Ответить | Цитировать | Написать  
Авторизация пользователей в корп.сист. Как?
    #34929541
Фотография DVE
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
DVE
Участник
Расскажу как делаю Я. Я разаработал системное ядро (Delphi + Oracle или MSSQL). Успешно используется как минимум в 4-х ИС.
В нем реализована подсистема ролей и доступов.

Доступ - обьект
N системный номер
SYSname системное имя
DSC описание
Access уровень доступа
Options параметр доступа
Metric метрика
FD дата начала верcии реализации объекта
FD дата окончания верcии реализации объекта

Роль - обьект
N системный номер
UP ссылка на родительскую роль
SYSname системное имя
DSC описание
.................

роли имеют иерархическую структуру (роль содержит вложенную роль)

Пользователь - обьект
имя
пароль
внешний мейл
...............................

ну и таблица соответствий
пользователь - роль
пользователь - доступ
роль - роль
роль - доступ
в ней тоже
уровень доступа
параметры доступа
метрика
начало действия
конец действия


Есть ряд пакетных(серверных) процедур для получения уровня доступа или параметров


Модуль администрирования пользователей ролей доступов.
Конфигурация базовых ролей и прочее

Авторизация по имени или паролю или по биометрическим данным
все это модульно



-В интерфейсах доступа к меню по наличию доступа.
-К кнопкам по наличию и уровню доступа (кнопка видна , не видна, дисейбл)
-Доступ например к типам документов по значению доступа (,1,2,3,) 0- все

Подключение к БД под одним пользователем БД, имя пароль и параметры сервера, захешированы и храним в реестре

Администрировать доступа на уровне объектов БД, если честно то забодаться можно, и нужен чел который знает основы администрирования БД,
А для предложенной схемы все просто. Ответственный Человек может раздавать доступа не к объектам а к бизнес логике.

Если нужны подробности то расскажу
...
Рейтинг: 0 / 0
09.11.2007, 22:01
| Ответить | Цитировать | Написать  
Авторизация пользователей в корп.сист. Как?
    #34929569
Фотография softwarer
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
softwarer
Участник
DVEУспешно используется как минимум в 4-х ИС.
Сколько раз получали благодарности от взломщиков за общий вход?

DVEЕсли нужны подробности то расскажу
Хм. Лучше расскажите хоть про что-то нестандартное, что в ней есть. Хоть про что-то, что выделяло бы среди прочих.
...
Рейтинг: 0 / 0
09.11.2007, 22:45
| Ответить | Цитировать | Написать  
Авторизация пользователей в корп.сист. Как?
    #34929575
Фотография DVE
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
DVE
Участник
softwarerСколько раз получали благодарности от взломщиков за общий вход?

причем тут взлом некачественной защиты на уровне приложения и общий вход?


softwarer
Хм. Лучше расскажите хоть про что-то нестандартное, что в ней есть. Хоть про что-то, что выделяло бы среди прочих.

см. название топа
...
Рейтинг: 0 / 0
09.11.2007, 23:05
| Ответить | Цитировать | Написать  
18 сообщений из 43, страница 2 из 2
  2  все
Форумы / Разработка информационных систем [игнор отключен] [закрыт для гостей] / Авторизация пользователей в корп.сист. Как?
Целевая тема:
Создать новую тему:
Автор:
Закрыть
Цитировать
Найденые пользователи ...
Разблокировать пользователей ...
Читали тему (0):
Читали форум (0):
Пользователи онлайн (0):
Польз. соглашение
NoSQL.ru       Новости, Чат       Фотоальбом: Участники, Встречи
Закрыть
start [/forum/topic.php?fid=33&gotonew=1&tid=1548957]:
 0ms
get settings:
 9ms
get forum list:
 14ms
check forum access:
 4ms
check topic access:
 4ms
track hit:
 134ms
get topic data:
 11ms
get first new msg:
 8ms
get forum data:
 2ms
get page messages:
 66ms
get tp. blocked users:
 1ms
others: 258ms
total:  511ms
созд. / загр.: 511ms
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]