|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
Barmaley57 Что помешает пользователю узнать строку подключения, логин и пароль, с которым приложение "подключается от его имени"? ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 11:19 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
WildSery Barmaley57 Что помешает пользователю узнать строку подключения, логин и пароль, с которым приложение "подключается от его имени"? У него оне продвинутые, реассемблером пользуются. ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 11:31 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
WildSery Barmaley57 Что помешает пользователю узнать строку подключения, логин и пароль, с которым приложение "подключается от его имени"? ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 12:07 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
>Barmaley57, сегодня, 12:07 https://www.sql.ru/forum/actualutils.aspx?action=gotomsg&tid=1329052&msg=22196459][22196459] >У приложения. <Как? В .exe приложения имени и пароля нет. Они хранятся в криптоконтейнере, например в .rar. Для разархивации админ сообщает пользователю пин-код (к примеру), который составляет тоько часть кода разархивации. Вторая часть может быть зашита в тело приложения или хранится в голове админа или получается из имени пользователя или .... А строка соединения, что хранится в контейнере, может иметь доступ только к хранимой процедуре аутентификации, а может ...? ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 12:59 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
ВМоисеева может ... Угу. А потом имя пользователя и пароль в открытом виде подставляется в DPB при вызове isc_database_attach(). Поздравляем, Боря. Posted via ActualForum NNTP Server 1.5 ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 13:01 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
Dimitry Sibiryakov ВМоисеева может ... Угу. А потом имя пользователя и пароль в открытом виде подставляется в DPB при вызове isc_database_attach(). Поздравляем, Боря. Э-э-э.... Кажется тред ушел в глубокие дебри. Продвинутые пользователи все поголовно умеют IDA, являются хацкерами и только мечтают о том, чтобы чего-нить "подх(ак)ерить".... В общем очередной конь в вакууме. ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 13:18 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
>DarkMaster, сегодня, 13:18 https://www.sql.ru/forum/actualutils.aspx?action=gotomsg&tid=1329052&msg=22196499][22196517] >Угу. А потом имя пользователя и пароль в открытом виде подставляется... <Где ты возьмешь имя пользователя и пароль? Далее, на вход хранимой процедуры аутентификации подается имя пользователя и пароль не имеющие никакого непосредственного отношения к базе данных - только аутентификация. Если аутентификация ок, приложение (не пользователь) получает боевую строку соединения для работы с реальной базой данных. И ещё, 70 лет меня зовут Владимир, так меня назвал мой отец Николай. ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 14:27 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
ВМоисеевЕсли аутентификация ок, приложение (не пользователь) получает боевую строку соединения для работы с реальной базой данных. И теперь внимание, вопрос: что оно делает с этой строкой? Posted via ActualForum NNTP Server 1.5 ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 14:29 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
Dimitry Sibiryakov И теперь внимание, вопрос: что оно делает с этой строкой? Показывает пользователю с вопросом "подключиться вот этим способом"? ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 15:03 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
WildSeryПоказывает пользователю с вопросом "подключиться вот этим способом"? Ну да. А отсюда всего один шаг до чтения сверхсекретного кода супер-пупер-хранимой процедуры. Posted via ActualForum NNTP Server 1.5 ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 15:18 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
Американский форум: задал вопрос - получил ответ. Израильский форум: задал вопрос - получил вопрос. Российский форум: задал вопрос и пять страниц читаешь, какой ты м...к)) p.s. про промышленный шпионаж не слышали? ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 15:59 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
14.09.2020 15:59, Barmaley57 пишет: > > p.s. про промышленный шпионаж не слышали? какой в салупу шпионаж на OpenSource ?! Posted via ActualForum NNTP Server 1.5 ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 16:10 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
>Dimitry Sibiryakov, сегодня, 14:29 https://www.sql.ru/forum/actualutils.aspx?action=gotomsg&tid=1329052&msg=22196605][22196605] >И теперь внимание, вопрос: что оно делает с этой строкой? <Для начала хранит в переменной памяти приложения. ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 16:28 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
ВМоисеев, строка соединения, как и имя пользователя, и роль всегда передаётся в открытом виде, так что любой сетевой снифер их перехватит. Их нет смысла прятать глубоко. А вот пароль в SRP в открытом виде не передаётся. Вот с ним ещё можно поизголяться ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 16:38 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
14.09.2020 16:38, Симонов Денис пишет: > строка соединения, как и имя пользователя, и роль всегда передаётся в открытом виде, так что любой сетевой снифер их перехватит. > Их нет смысла прятать глубоко. А вот пароль в SRP в открытом виде не передаётся. Вот с ним ещё можно поизголяться не нужно напрасных иллюзий Posted via ActualForum NNTP Server 1.5 ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 16:56 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
Мимопроходящий, не нужно голословных утверждений :) ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 17:12 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
14.09.2020 17:12, hvlad пишет: > > не нужно голословных утверждений :) > не надо песен. я не люблю самодеятельности. (С) до тех пор пока существует унаследованный метод заполнения isc_dpb_password Posted via ActualForum NNTP Server 1.5 ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 17:18 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
Сколько времени понадобится среднему фрилансеру чтобы написать провайдер-заглушку, который не делает ничего кроме дампа dpb в IProvider::attachDatabase() и возвращения "Unavailable database"? Насколько гениален должен быть пользователь чтобы взять этот провайдер и указать его первым в списке в firebird.conf? Единственный способ обхода этого - использование trusted auth. Или можно написать встроенный в приложение auth plugin. Но давайте посмотрим в глаза топикстартеру и задумаемся: "осилит ли?.." Posted via ActualForum NNTP Server 1.5 ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 17:20 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
Мимопроходящий, так никто не заставляет включать Legacy_Auth на стороне сервера и использовать в приложении ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 17:21 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
14.09.2020 17:21, Симонов Денис пишет: > > так никто не заставляет включать Legacy_Auth при чем тут Legacy_Auth? Posted via ActualForum NNTP Server 1.5 ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 17:28 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
DS> Сколько времени понадобится среднему фрилансеру Ты как-то быстро перескочил от продвинутого пользователя к среднему фрилансеру. P.S. ИМХО, дешевле будет не к фрилансеру обратиться, а паяльник пиво админу поставить. Posted via ActualForum NNTP Server 1.5 ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 17:49 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
Мимопроходящий, ты с кем разговаривал ? Я не понимаю намёков. ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 17:52 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
14.09.2020 17:49, Гаджимурадов Рустам пишет: > ИМХО, дешевле будет не к фрилансеру > обратиться, а паяльник пиво админу поставить. > ты безнадёжно застрял в ХХ веке. нынешние "одмины" предпочитают смузи, фреш, и в жопе колокольчик. Posted via ActualForum NNTP Server 1.5 ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 17:53 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
Гаджимурадов РустамТы как-то быстро перескочил от продвинутого пользователя к среднему фрилансеру. А к кому ещё может обратиться продвинутый пользователь, задавшийся целью "хатю пасматреть на суперсекретную хранимаю працидуру"? Posted via ActualForum NNTP Server 1.5 ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 17:53 |
|
Запретить пользователю чтение текста ХП (FB 3)
|
|||
---|---|---|---|
#18+
погодитя. куда-то вы все уехали не туда. Речь же про невидимость исходников процедур и триггеров (и типа того) для обычного пользователя. Исторически у IB и у ФБ "всё видать". Но если провести хоть какие-то параллели, есть пользователь и программист (или админ). Допустим, программист пишет на Java - та же параллель с исходниками и байт-кодом. Пользователю нужен только байт-код и исполняющая их машина. Исходники он менять или не может, или ему не положено. Другое дело что "читать исходники" и "менять исходники" это разные вещи. Но если нельзя менять, то зачем можно читать, раз ФБ спокойно выполняет байт-код без исходников. В ФБ 3 есть привилегии DDL. Без grant alter юзер не может менять, но может читать. Значит, можно ему запретить читать, раз ему это нафиг не надо. 1 вариант можно было бы провернуть через grant select <col1, col2>, и убрать из гранта столбец xxx_source, но в ФБ нет грантов на селект по столбцам. 2 вариант - шифрование столбцов. Но его в FB тоже нет. 3 вариант - в следующих версиях (или апдейтах) убрать видимость содержимого столбца xxx_source до тех пор, пока у юзера нет grant alter. Либо показывать пустоту, либо штатный текст типа "you have no rights to alter this object". Лично я в отношении 3го варианта вообще не вижу никаких проблем для пользователя. А если разработчик всех сделал SYSDBA или OWNER, ну так это его проблемы. ... |
|||
:
Нравится:
Не нравится:
|
|||
14.09.2020, 17:57 |
|
|
start [/forum/topic.php?fid=40&msg=39998459&tid=1560254]: |
0ms |
get settings: |
7ms |
get forum list: |
14ms |
check forum access: |
3ms |
check topic access: |
3ms |
track hit: |
309ms |
get topic data: |
10ms |
get forum data: |
2ms |
get page messages: |
62ms |
get tp. blocked users: |
1ms |
others: | 297ms |
total: | 708ms |
0 / 0 |