ReSQL.ru
     
powered by simpleCommunicator - 2.0.52     © 2025 Programmizd 02
Мобильная версия    Контакт    Правила    FAQ    Помощь
Доб. в избранное | Игнор. тему | Прикреп. тему | Пометить прочит. / непрочит. | Фильтр
Форумы / Microsoft SQL Server [игнор отключен] [закрыт для гостей] / Хранение логинов/паролей пользователей от разных ресурсов
21 сообщений из 21, страница 1 из 1
Хранение логинов/паролей пользователей от разных ресурсов
    #40013472
drgdr
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
drgdr
Гость
Добрый день.
У пользователей некой базы есть потребность сохранять и потом пользоваться логинами/паролями от разных корпоративных ресурсов (b2b поставщиков). Как можно безопасно их хранить и предоставлять только нужным пользователям?
...
Рейтинг: 0 / 0
30.10.2020, 15:18
| Ответить | Цитировать | Написать  
Хранение логинов/паролей пользователей от разных ресурсов
    #40013473
drgdr
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
drgdr
Гость
База данных на MS SQL, интерфейс - на Access.
...
Рейтинг: 0 / 0
30.10.2020, 15:19
| Ответить | Цитировать | Написать  
Хранение логинов/паролей пользователей от разных ресурсов
    #40013475
Фотография env
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
env
Участник
drgdr,

Например, шифровать
...
Рейтинг: 0 / 0
30.10.2020, 15:22
| Ответить | Цитировать | Написать  
Хранение логинов/паролей пользователей от разных ресурсов
    #40013494
Владислав Колосов
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Владислав Колосов
Участник
drgdr,

существуют приложения, которые позволяют хранить пароли в зашифрованном виде и шифровать их мастер-паролем. Лучше использовать специальный софт, чем городить самопал непонятного качества.
...
Рейтинг: 0 / 0
30.10.2020, 15:53
| Ответить | Цитировать | Написать  
Хранение логинов/паролей пользователей от разных ресурсов
    #40013575
Сон Веры Павловны
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Сон Веры Павловны
Участник
Пароли вообще никак нельзя хранить. Хранить можно хэши этих паролей, а лучше - хэши результата PBKDF2.
...
Рейтинг: 0 / 0
30.10.2020, 19:02
| Ответить | Цитировать | Написать  
Хранение логинов/паролей пользователей от разных ресурсов
    #40013727
aleks222
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
aleks222
Участник
Сон Веры Павловны
Пароли вообще никак нельзя хранить. Хранить можно хэши этих паролей, а лучше - хэши результата PBKDF2.


Ну, не надо перегибать палку.

Хранить можно все, пароли не исключение.
Да и хэш пароль не заменит.
...
Рейтинг: 0 / 0
31.10.2020, 15:33
| Ответить | Цитировать | Написать  
Хранение логинов/паролей пользователей от разных ресурсов
    #40013728
aleks222
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
aleks222
Участник
Владислав Колосов
drgdr,

существуют приложения, которые позволяют хранить пароли в зашифрованном виде и шифровать их мастер-паролем. Лучше использовать специальный софт, чем городить самопал непонятного качества.


Ты не поверишь!
MS SQL именно такое приложение.
...
Рейтинг: 0 / 0
31.10.2020, 15:34
| Ответить | Цитировать | Написать  
Хранение логинов/паролей пользователей от разных ресурсов
    #40013731
SERG1257
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
SERG1257
Участник
env Например, шифроватьУ этого способа один недостаток - админ все видит.
Always Encrypted зашифрует от админа
...
Рейтинг: 0 / 0
31.10.2020, 15:48
| Ответить | Цитировать | Написать  
Хранение логинов/паролей пользователей от разных ресурсов
    #40013862
felix_ff
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
felix_ff
Участник
aleks222
Сон Веры Павловны
Пароли вообще никак нельзя хранить. Хранить можно хэши этих паролей, а лучше - хэши результата PBKDF2.


Ну, не надо перегибать палку.

Хранить можно все, пароли не исключение.
Да и хэш пароль не заменит.


не прав. однозначно, кто утверждает что хранение паролей с любом виде даже зашифрованном - вызывает ассоциасию что он давно не получал ссаной тряпкой по лицу.
...
Рейтинг: 0 / 0
01.11.2020, 01:14
| Ответить | Цитировать | Написать  
Хранение логинов/паролей пользователей от разных ресурсов
    #40013876
Фотография Ennor Tiegael
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Ennor Tiegael
Участник
drgdr,

Рекомендую освежить в памяти историю с Ashley Madison, прежде чем браться за такое задание. Поучительно.
...
Рейтинг: 0 / 0
01.11.2020, 07:26
| Ответить | Цитировать | Написать  
Хранение логинов/паролей пользователей от разных ресурсов
    #40013882
НеофитSQL
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
НеофитSQL
Гость
drgdr
Добрый день.
У пользователей некой базы есть потребность сохранять и потом пользоваться логинами/паролями от разных корпоративных ресурсов (b2b поставщиков). Как можно безопасно их хранить и предоставлять только нужным пользователям?


Из описания - пользователи хотят сохранить пароль, а потом его вспомнить, а-ля браузер?

Для этих целей существуют коммерческие прлграммы, например Citrix Password Manager. Если вы хотите делать свой, и защищать его хорошо, вам предстоит стать экспертом в области компьютерной безопасности, чтобы хотя бы сформулировать проблемы, которые вам предстоит решить.

Ну например, только на клиенте:
- как обезопаситься от ненамеренно попадания пароля в dump, когда ПК попадает на блюскрин
- как не допустить попадания пароля в pagefile, даже временно
- как прятать пароль в памяти от хакера в условиях виртуализации
- как не отдать пароль вирусу который внёс себя в адресное пространство клиента.

Это даже не затрагивает передачу и хранение данных на сервере (что во многих смыслах легче, т.к. контроль конфигурации и физического доступа крепче).

Но и там:
- как не допустить утечку всей базы паролей одним недовольным сисадмином
- как исполнить требование суда о передаче паролей пользователя
- при этом не раскрывая пароли других

После этого система хранения такой ценной информации потребует проверок и продолжающегося надзора. Возможно, сертификаций для допуска к определенным контакторам, и/или для снижения юридической нагрузки. Несомненно - учебных материалов для образования пользователей.

Проработав в этой сфере много лет, я отношусь к таким данным как к обогащенному плутонию - если это не является моей основной задачей - спихнуть на готовое сертифицированное (EAL-х?) решение. Если является - то соразмерный бюджет и команда.

Кто будет/сможет решать проблему когда пароли сотен людей всплыли на DMs, а ты только выбрался на Ямайку и наслаждаешься погодой?
...
Рейтинг: 0 / 0
01.11.2020, 07:56
| Ответить | Цитировать | Написать  
Хранение логинов/паролей пользователей от разных ресурсов
    #40013901
aleks222
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
aleks222
Участник
НеофитSQL
drgdr
Добрый день.
У пользователей некой базы есть потребность сохранять и потом пользоваться логинами/паролями от разных корпоративных ресурсов (b2b поставщиков). Как можно безопасно их хранить и предоставлять только нужным пользователям?


Из описания - пользователи хотят сохранить пароль, а потом его вспомнить, а-ля браузер?

Для этих целей существуют коммерческие прлграммы, например Citrix Password Manager. Если вы хотите делать свой, и защищать его хорошо, вам предстоит стать экспертом в области компьютерной безопасности, чтобы хотя бы сформулировать проблемы, которые вам предстоит решить.

Ну например, только на клиенте:
- как обезопаситься от ненамеренно попадания пароля в dump, когда ПК попадает на блюскрин
- как не допустить попадания пароля в pagefile, даже временно
- как прятать пароль в памяти от хакера в условиях виртуализации
- как не отдать пароль вирусу который внёс себя в адресное пространство клиента.

Это даже не затрагивает передачу и хранение данных на сервере (что во многих смыслах легче, т.к. контроль конфигурации и физического доступа крепче).

Но и там:
- как не допустить утечку всей базы паролей одним недовольным сисадмином
- как исполнить требование суда о передаче паролей пользователя
- при этом не раскрывая пароли других

После этого система хранения такой ценной информации потребует проверок и продолжающегося надзора. Возможно, сертификаций для допуска к определенным контакторам, и/или для снижения юридической нагрузки. Несомненно - учебных материалов для образования пользователей.

Проработав в этой сфере много лет, я отношусь к таким данным как к обогащенному плутонию - если это не является моей основной задачей - спихнуть на готовое сертифицированное (EAL-х?) решение. Если является - то соразмерный бюджет и команда.

Кто будет/сможет решать проблему когда пароли сотен людей всплыли на DMs, а ты только выбрался на Ямайку и наслаждаешься погодой?


Ну что ты несешь пургу?
Фсе твои проблемы решаются шифрованием/дешифрованием пароля на клиенте по мастер-паролю пользователя.

Но учитывая "от разных корпоративных ресурсов (b2b поставщиков)" - это не личные пароли, а служебные.
Т.е. работодатель имеет право доступа к ним => достаточно шифрования на сервере.
...
Рейтинг: 0 / 0
01.11.2020, 11:44
| Ответить | Цитировать | Написать  
Хранение логинов/паролей пользователей от разных ресурсов
    #40014067
stenford
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
stenford
Участник
Для паролей заводится корпоративный аккаунт к примеру на Last Pass, и пароли шарятся между теми, кто имеет к ним доступ. Самим не надо хранить ни пароли, ни их хэши
...
Рейтинг: 0 / 0
01.11.2020, 23:31
| Ответить | Цитировать | Написать  
Хранение логинов/паролей пользователей от разных ресурсов
    #40014073
fkthat
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
fkthat
Участник
Поскольку речь идет о логинах/паролях сторонних ресурсов, то хранить их так или иначе надо, и хеш тут не подойдет. Я бы хранил это в зашифрованном виде, но ключ при этом должен быть только у самого пользователя. Пользователь логинится в приложение, передает ему ключ, и приложение дешифрует этим ключом нужные логины/пароли. Т.е. в приложении хранятся только прароли, но не хранится ключ для них, т.е. без ведома пользователя-владельца пароля никто его все равно расшифровать не может.
...
Рейтинг: 0 / 0
01.11.2020, 23:58
| Ответить | Цитировать | Написать  
Хранение логинов/паролей пользователей от разных ресурсов
    #40014087
felix_ff
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
felix_ff
Участник
drgdr,

Наиболее точным с моей точки зрения ответом на Ваш вопрос "Как можно безопасно их хранить и предоставлять только нужным пользователям?" будет:
хранить в таблице в виде столбца varbinary(max), при соглашении что все средства шифрования/дешифрования обеспечиваются внешиними СКЗИ по отношению к серверу. (он выступает только в качестве хранилища данных)
доступ к получению данных из таблицы хранения можно косвенно ограничить "точками входа" в виде хранимых процедур, но это не является основной гарантией защиты данных, оснавная часть ложится на то что клиент должен шифровать исходный пароль на основе криптостойкого алгоритма + ключ к дешифровке должен быть доступен только со стороны клиента.

Вы не должны рассматривать ситуацию когда возможен сценаций вида:
Код: sql
1.
2.
3.
4.
--client: 
declare @user_id int = user_id(); /*or something confidential info*/ 
declare @pwd varchar(255);
exec GetPwd @user_id, @pwd = @pwd output;



единственно возможный вариант когда клиент запрашивает информацию:
Код: sql
1.
2.
3.
declare @user_id int = user_id(); /*or something identification info*/ 
declare @pwd varbinary(max);
exec GetPwdEncrypted @user_id, @pwd = @pwd output;


а уже на клиенте @pwd (varbinary) дополнительно десериализуется и дешифруется на стороне клиента
...
Рейтинг: 0 / 0
02.11.2020, 02:51
| Ответить | Цитировать | Написать  
Хранение логинов/паролей пользователей от разных ресурсов
    #40014105
Сон Веры Павловны
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Сон Веры Павловны
Участник
fkthat
Поскольку речь идет о логинах/паролях сторонних ресурсов, то хранить их так или иначе надо, и хеш тут не подойдет.

Вопрос, зачем это делать централизованно. Пусть об этом голова болит у конечного пользователя, и пусть он хранит пароли в соответствии со своими навыками, и степенью осознания рисков - от стикеров на мониторе, до того же бесплатного, но вполне надежного KeePass (шифрование базы по AES-256, key derivation посредством AES-KDF или Argon2 - вряд ли самопал будет лучше). И всех тех проблем, о которых было написано выше , не будет.
...
Рейтинг: 0 / 0
02.11.2020, 07:54
| Ответить | Цитировать | Написать  
Хранение логинов/паролей пользователей от разных ресурсов
    #40014145
fkthat
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
fkthat
Участник
Сон Веры Павловны
Вопрос, зачем это делать централизованно. Пусть об этом голова болит у конечного пользователя, и пусть он хранит пароли в соответствии со своими навыками, и степенью осознания рисков - от стикеров на мониторе, до того же бесплатного, но вполне надежного KeePass (шифрование базы по AES-256, key derivation посредством AES-KDF или Argon2 - вряд ли самопал будет лучше). И всех тех проблем, о которых было написано выше , не будет.

Да, это верно.
...
Рейтинг: 0 / 0
02.11.2020, 10:37
| Ответить | Цитировать | Написать  
Хранение логинов/паролей пользователей от разных ресурсов
    #40014688
НеофитSQL
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
НеофитSQL
Гость
aleks222

Фсе твои проблемы решаются шифрованием/дешифрованием пароля на клиенте по мастер-паролю пользователя.

Но учитывая "от разных корпоративных ресурсов (b2b поставщиков)" - это не личные пароли, а служебные.
Т.е. работодатель имеет право доступа к ним => достаточно шифрования на сервере.


Вот наглядный пример, почему управлением паролями должны заниматься квалифицированные специалисты, а не "Фсе твои проблемы решаются шифрованием".

Вы подумали про защититу служебный паролей от работодателя (серьезно??), но не подумали про защиту от трояна/вируса.

Или от кражи служебного ноута. Или от атаки посредника RDP сессии. Или... вряд ли есть толк все перечислять для того, кто "Фсе твои проблемы решаются шифрованием".
...
Рейтинг: 0 / 0
03.11.2020, 03:51
| Ответить | Цитировать | Написать  
Хранение логинов/паролей пользователей от разных ресурсов
    #40014695
aleks222
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
aleks222
Участник
НеофитSQL
aleks222

Фсе твои проблемы решаются шифрованием/дешифрованием пароля на клиенте по мастер-паролю пользователя.

Но учитывая "от разных корпоративных ресурсов (b2b поставщиков)" - это не личные пароли, а служебные.
Т.е. работодатель имеет право доступа к ним => достаточно шифрования на сервере.


Вот наглядный пример, почему управлением паролями должны заниматься квалифицированные специалисты, а не "Фсе твои проблемы решаются шифрованием".

Вы подумали про защититу служебный паролей от работодателя (серьезно??), но не подумали про защиту от трояна/вируса.

Или от кражи служебного ноута. Или от атаки посредника RDP сессии. Или... вряд ли есть толк все перечислять для того, кто "Фсе твои проблемы решаются шифрованием".


Дарагой параноик, прежде чем думать о защите "от трояна/вируса" надо бы подумать о защите паролей от самого пользователя.
Иначе пользователь может, ненароком, узнать свои пароли.
Это же ужасно!
И недопустимо.
...
Рейтинг: 0 / 0
03.11.2020, 06:04
| Ответить | Цитировать | Написать  
Хранение логинов/паролей пользователей от разных ресурсов
    #40014710
НеофитSQL
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
НеофитSQL
Гость
aleks222,

Я надеюсь, вы начали понимать сложность задачи.

Кстати, есть немало пакетов, которые действительно осуществляют защиту паролей от пользователей.
Это не тот сценарий что мы обсуждаем, но ваш пример неудачен. Есть такая ниша.

А "параноик" в моей предыдущей работе был комплимент. Я занимался проектированием систем компьютерной безопасности и их сертификацией. Первое интересно, второе нужно, но необходимо, особенно когда РФ перешла на свои "GOST".
...
Рейтинг: 0 / 0
03.11.2020, 08:33
| Ответить | Цитировать | Написать  
Хранение логинов/паролей пользователей от разных ресурсов
    #40014870
aleks222
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
aleks222
Участник
НеофитSQL
aleks222,

Я надеюсь, вы начали понимать сложность задачи.

Кстати, есть немало пакетов, которые действительно осуществляют защиту паролей от пользователей.
Это не тот сценарий что мы обсуждаем, но ваш пример неудачен. Есть такая ниша.

А "параноик" в моей предыдущей работе был комплимент. Я занимался проектированием систем компьютерной безопасности и их сертификацией. Первое интересно, второе нужно, но необходимо, особенно когда РФ перешла на свои "GOST".


Я уже давно понял, что вы, болезный, ничем полезным не занимались.
Кроме надувания щек.

Прекращайте пороть чушь.
Ей больно.
...
Рейтинг: 0 / 0
03.11.2020, 14:50
| Ответить | Цитировать | Написать  
21 сообщений из 21, страница 1 из 1
Форумы / Microsoft SQL Server [игнор отключен] [закрыт для гостей] / Хранение логинов/паролей пользователей от разных ресурсов
Целевая тема:
Создать новую тему:
Автор:
Закрыть
Цитировать
Найденые пользователи ...
Разблокировать пользователей ...
Читали тему (0):
Читали форум (0):
Пользователи онлайн (0):
Польз. соглашение
NoSQL.ru       Новости, Чат       Фотоальбом: Участники, Встречи
Закрыть
start [/forum/moderation_log.php?user_name=%D0%A1%D0%B5%D1%80%D0%B3%D0%B5%D0%B9330]:
 0ms
get settings:
 8ms
get forum list:
 15ms
get settings:
 10ms
get forum list:
 12ms
check forum access:
 3ms
check topic access:
 3ms
track hit:
 61ms
get topic data:
 10ms
get forum data:
 2ms
get page messages:
 54ms
get tp. blocked users:
 1ms
others: 438ms
total:  617ms
созд. / загр.: 617ms
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]