Onderwerp: Database (gegevens) encrypten ?

Oorspronkelijk geplaatst door Mikey

Dat het jou makkelijker lijkt, en het scheiden van de database server van de webserver geen kwaad kan, daar ging het toch niet om ? Wat jij hier zo verkoopt is gewoon schijnveiligheid. Zolang je source gewoon leesbaar blijft en daarin de key van de database staat, heb je gewoon je deur op slot met een "my little diary" slotje. Het slotje zit erop, maar het is wachten tot iemand met de paperclip hem eraf haalt.

Wat een negativiteit... In dit geval gaat het om een VisualBasic/C# applicatie, dus echt cleartext is het nou ook weer niet. Applicaties kunnen inderdaad reversdengineered worden/geworden/ worden gereversed engineered, ach...whatever.. maar dan heb je een heel andere uitdaging. De vraag hier is om het onmogelijk te maken dat de klant zijn database aan een concurrerende leverancier kan geven.

Inmiddels heb ik ook de namen van de producten die zouden doen wat de klant wil:

NetLib Encryptionizer (zeer duur daardoor nog niet geprobeerd)
DBdefence encryptor (instabiele werking)

Vanmiddag ga ik een demo-server neerzetten om beide producten uit te proberen !

Hm, DBDefence valt alvast af. Een lege database versleutelen en weer leesbaar maken zorgt er alvast voor dat systeemtabellen onleesbaar worden.

Oorspronkelijk geplaatst door marcussmit

Wat een negativiteit... In dit geval gaat het om een VisualBasic/C# applicatie, dus echt cleartext is het nou ook weer niet. Applicaties kunnen inderdaad reversdengineered worden/geworden/ worden gereversed engineered, ach...whatever.. maar dan heb je een heel andere uitdaging. De vraag hier is om het onmogelijk te maken dat de klant zijn database aan een concurrerende leverancier kan geven.

Tsja Marcus, als je om advies vraagt, moet je het wel opvolgen, natuurlijk. Als ik het zo lees, heb je niet genoeg expertise om deze oplossing te bieden. Dat hoeft geen probleem te zijn, maar als de data op die DB genoeg waard is, wordt het wel lastig. Kan jij/jullie een claim verwachten als de boel toch gekraakt wordt?

Als ik het goed begrijp zijn zowel de encrypted DB als de applicatie met decryption en sleutel toegankelijk voor de beheerder? Dat is inderdaad niet erg veilig, want die beheerder kan dan op zijn gemakje:

a) een exploit zoeken voor de applicatie
b) verbanden zoeken tussen user input en applicatie/DB communicatie
c) de applicatie reverse engineeren
d) de DB brute forcen

Het is allemaal niet triviaal, maar als de data genoeg waard is...