3

Me encanta c# pero es terriblemente malo que no puedas conectar con una base de datos. Hablo de cuando creas una aplicación que luego harás pública para que los demás usen.

Por mas que se codifique, encripte, oculte y todo lo que uno quiera la cadena de conexión, eso no importa. Una persona malintencionada no necesita la cadena de conexión decriptada (y aún así es fácil obtenerla)... tiene a su disposición el mismo objeto de MySQL con la conexión abierta para realizar consultas a voluntad.

¿Alguien que me diga la fórmula para proteger la instancia (objeto) y la integridad de cada consulta hacia la base de datos e incluyendo la conexión inicial?

Lo triste de esto es que estaba volviendo real una idea que tuve hasta que me di cuenta que el ejecutable se podía descompilar y de ahí razoné que la base de datos entra en peligro.

13
  • 1
    Y que lenguaje puede producir un ejecutable que no pueda descompilarse? y pueda ejecutarse en Windows.
    – LuKks
    Commented el 23 sept. 2016 a las 5:46
  • 1
    .Net tiene varios mecanismos para proteger estas cosas como, por ejemplo, la encriptación de las secciones de configuración. Échale un vistazo a estos enlaces Proteger la información de conexión, Tutorial: Cifrar la información de configuración mediante la configuración protegida
    – rsciriano
    Commented el 23 sept. 2016 a las 6:50
  • ¿Has valorado la posibilidad de utilizar servicios Web en lugar de una conexión directa a la base de datos?
    – user12424
    Commented el 23 sept. 2016 a las 6:58
  • 4
    @LucasBarrena Mi opinión es que deberías usar servicios WCF o algún tipo de API REST donde expongas todo lo que tu aplicación de escritorio deba hacer. Es evidente que cualquiera podría consumir esos servicios, pero también es cierto que deberás establecer los controles de seguridad adecuados (mediante autenticación y tokens puedes limitar la API y nadie podrá usarla si no quieres) Yo personalmente no veo ningún inconveniente en aplicar esa solución.
    – user12424
    Commented el 23 sept. 2016 a las 12:02
  • 1
    Concuerdo con @Sergio en ese sentido. Si quieres proteger tu BBDD lo mejor es crear un web service (WCF preferiblemente) dónde definas tus operaciones y dónde haya la conexión a la BBDD. de esta manera ya lo tienes solucionado. Commented el 23 sept. 2016 a las 12:23

1 respuesta 1

1

Según he leído en los comentarios, estás desarrollando una aplicación de Escritorio que se conectaría directamente a una base de datos de MySQL.

Estos casos son difíciles de securizar porque te obliga a tener el usuario y contraseña de MySQL en el cliente, que aunque lo guardes encriptado, un usuario malintencionado podría dar con ellos y acceder directamente a la base de datos.

Para evitar esto se podría establecer la seguridad mediante las credenciales de Windows (Autenticación integrada) pero eso tampoco no está libre de problemas:

  • Esta funcionalidad solo está disponible para la edición Enterprise de MySQL (en SQL Server si que está, incluso en la edición gratuita)

  • Algún usuario "listillo" podría acceder directamente a la base de datos, con sus credenciales, sin pasar por la aplicación

Por lo tanto, coincido con varios comentarios que recomiendan no realizar la conexión directa sino pasar por una API intermedia cuyo acceso debe estar protegido (para esto se suele usar seguridad basada en tokens)

Para la implementación de esta API, OData Web API podría ser buena opción.

En cuanto lo que comentas de usar la comunicación de Websockets para todo no sé si es buena idea, se suele usar más para notificaciones o actualizaciones de datos para visualizarlos en tiempo real y quizás te complique el desarrollo.

También te recomiendo que le eches un vistazo a SignalR que es una librería .NET que simplifica mucho las cominicaciones en tiempo real con Websockets y pudría facilitarte el uso desde la aplicación cliente en C#.

6
  • Entiendo, tengo una duda, como puedo reconocer con websocket (php) que el usuario se está conectado desde mi aplicación en c# y no desde una web u otra plataforma por así decirlo? O sea, el servidor websocket se estaría ejecutando en php y yo quiero desde php saber desde que "plataforma" se conecta el cliente (por ejemplo, Web).. en el caso de que sea Web yo desconectaría a dicho cliente ya que la aplicación no tendría aplicación web y en el caso de que tenga yo manejaría que hacer con tal cliente.
    – LuKks
    Commented el 24 sept. 2016 a las 1:54
  • 1
    Hola @LucasBarrena, lo que tendrías que hacer es implementar un mecanismo de seguridad para que solo los usuarios autorizados establezcan conexión con el WebSocket, en este artículo (en inglés) habla del tema. En SignalR está más integrado
    – rsciriano
    Commented el 24 sept. 2016 a las 20:05
  • 1
    @LucasBarrena, por cierto, lo de averiguar desde que plataforma se ha establecido la conexión quizás se podría saber accediendo al user-agent pero tampoco es seguro porque se puede falsificar. También se podría enviar un encabezado HTTP para diferenciarlas
    – rsciriano
    Commented el 24 sept. 2016 a las 20:10
  • Gracias por la información, me será de útil :)
    – LuKks
    Commented el 25 sept. 2016 a las 7:48
  • 1
    Hola. Aparte de todo lo comentado por los compañeros. Te recomiendo que los datos sensibles como usuarios y contraseñas las almacenes en SecureString Commented el 25 sept. 2016 a las 20:18

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.