Onderwerp: Source Code & Database Beveiliging

Heren,

Er worden hier veel (php) scripts en dergelijke te koop aangeboden. Mijn vraag is eigenlijk vrij simpel : Wat wordt er gedaan om deze scripts te beveiligen tegen het namaken en/of kopiëren?

Zelf hebben wij al ervaring met http://www.ioncube.com/ om php sourcecode te beveiligen, maar voor het beveiligen van een databasestructuur op bijvoorbeeld een MySQL Server of een PostGRESQL Server bestaan er voor zover ik weet geen mogelijkheden cq. alternatieven, zonder dat de gebruiker alternatieve software moet installeren op de server.

Hoe doen jullie dit?

Volgens mij kan dit niet, omdat jouw applicatie in feite gebruik maakt van een externe losstaande applicatie. Je zou kunnen overwegen een bundled database die je wel kunt beveiligen mee te leveren. Maar das wel erg veel moeite voor alleen het beveiligen van een database als je het mij vraagt. Dat is waarschijnlijk toch niet het meest interessante deel van een applicatie voor mensen die het eea zouden willen stelen.

Misschien kan je alles zo in een database opslaan dat het gewoon onbegrijpelijk is voor iemand die dus ook niet de sourcecode heeft.

Alles met een dubbele md5 opslaan in een database zorgt er al voor dat iets onbegrijpelijk is.

Oorspronkelijk geplaatst door joriz

Alles met een dubbele md5 opslaan in een database zorgt er al voor dat iets onbegrijpelijk is.

En hoe haal je de gegevens dan weer terug naar begrijpelijke gegevens? MD5 is naar mijn weten niet te decoderen

En wat denk je van de performance.. traag als dikke -piep- door een trechter

Oorspronkelijk geplaatst door joriz

Misschien kan je alles zo in een database opslaan dat het gewoon onbegrijpelijk is voor iemand die dus ook niet de sourcecode heeft.

Alles met een dubbele md5 opslaan in een database zorgt er al voor dat iets onbegrijpelijk is.

Joriz,

Dit is een mogelijkheid, alleen zou alle informatie beschikbaar moeten zijn voor het systeem om daarna de MD5 hashes uit te kunnen rekenen, maar als je bijvoorbeeld een CMS systeem ( om wat voor reden dan ook, doet er eigenlijk ook niet zoveel toe, is een hypothetische stelling ) zou willen beveiligen dan wil je de teksten uit de database opvragen en als hier een MD5 hash overheen zit is dit ( vrijwel ) onmogelijk om deze te "de-crpyten".

Een andere mogelijkheid is om de tabelnamen namen te geven die nergens op slaan of encrypted namen te gebruiken, en alle informatie in de database met een "SALT"te encrypten voordat deze weggeschreven wordt, en te decrypten zodra deze weer opgehaald wordt. Ik heb hier zelf nog geen benchmarks op uitgevoerd, maar volgens mij zal dit enorm toenemen in processingtijd en cpubelasting van de pagina (afhankelijk natuurlijk van de hoeveelheid op te halen data). Evenals dat de database nu vele malen groter zal worden door het opslaan van de Encrypted waarden.

Een "embedded" database zoals bijvoorbeeld : http://www.c-worker.ch/txtdbapi/index_eng.php heeft ook niet zo heel veel zin omdat de data in een flat textfile opgeslagen wordt en alsnog leesbaar is voor de gemiddelde data-dief ;-)

Ik weet dat GeoIP ( http://www.maxmind.com/app/geoip_country ) gebruik maakt van een bundled database die ook nog vrij snel is, maar dit is naar mijn idee zelf geschreven software, waar ik dus niets mee kan beginnen.

Nog meer ideeën zijn van harte welkom.

Alvast Bedankt.

Je heb 2 soorten beveiging:
- te nieuwsgierige klanten
- dieven van gegevens.

Maakt mij persoonlijk niet zo gek veel uit als een klant de database en de structuur daarvan kan zien. Zouden ze een dergelijke applicatie na willen maken zijn ze in de regel heeeeeel lang bezig :-)

Als je gevoelige informatie in je database heb staan dan kan het geen kwaad om te encrypten. Het enige probleem is dat je de key dan ook op de server heb staan waardoor IMO de graad van beveiliging niet altijd even hoog is. Of het moet niet uitmaken dat de applicatie die online staat het boeltje niet meer kan decrypten..

SQLite kun je in een versleutelende versie krijgen (niet gratis)

Oorspronkelijk geplaatst door t.bloo

SQLite kun je in een versleutelende versie krijgen (niet gratis)

Als ik me niet vergis, moet voor SQLite aparte software op de server worden geïnstalleerd ( via PEAR ). Ik zoek een oplossing om bijvoorbeeld een online systeem te kunnen exploiteren aan meerdere gebruikers, waarbij noch de sourcecode, noch de databasestructuur makkelijk na te maken zijn. Natuurlijk is het vrijwel onmogelijk om hier een complete beveiliging voor te vinden/maken, maar ik wil het anderen zo moeilijk mogelijk maken om dit te verkrijgen, zonder dat de gebruiker aditionele software hoeft te installeren op de server en het liefst met zo min mogelijk performance verlies.

Alvast Bedankt

Oorspronkelijk geplaatst door CyberSolid

Als ik me niet vergis, moet voor SQLite aparte software op de server worden geïnstalleerd ( via PEAR ). Ik zoek een oplossing om bijvoorbeeld een online systeem te kunnen exploiteren aan meerdere gebruikers, waarbij noch de sourcecode, noch de databasestructuur makkelijk na te maken zijn. Natuurlijk is het vrijwel onmogelijk om hier een complete beveiliging voor te vinden/maken, maar ik wil het anderen zo moeilijk mogelijk maken om dit te verkrijgen, zonder dat de gebruiker aditionele software hoeft te installeren op de server en het liefst met zo min mogelijk performance verlies.

Alvast Bedankt

Ioncube is toch ook al extra software?

voor ioncube hoef je alleen een stapel met "loaders" mee te leveren en up te loaden, voor sqlite moet je aan het compilen gaan

Oorspronkelijk geplaatst door Wido

Ioncube is toch ook al extra software?

Wido,

Klopt inderdaad, (hier hoef je overigens niet per se iets voor te compileren, omdat er loaders meegeleverd worden)

Ik probeer nu alleen de nadruk meer te leggen op het database gedeelte. Als er geen andere mogelijkheid is dan het installeren van software, dan grijpen wij dit aan. Ik ben gewoon nieuwsgierig wat voor ideeën con-collegas hebben met betrekking tot dit onderwerp, misschien dat er toch een mogelijkheid is om encryptie uit te voeren zonder additionele software aan te hoeven schaffen, dit maakt het ook gemakkelijker om een systeem te exploiteren.

(God sta me bij als ik dit gaat zeggen)...

Het is zo dat Microsoft Acces (.mdb) kan een bestand is welke kan worden beveildigt met een wachtwoord.

Het is flatfile DB en niet direct berijkbaar.
Maar toch rest de vraag hoe ver wil je gaan, een DB beveiligen is een beetje overkill

Oorspronkelijk geplaatst door Rollerscapes

(God sta me bij als ik dit gaat zeggen)...

Het is zo dat Microsoft Acces (.mdb) kan een bestand is welke kan worden beveildigt met een wachtwoord.

Het is flatfile DB en niet direct berijkbaar.
Maar toch rest de vraag hoe ver wil je gaan, een DB beveiligen is een beetje overkill

Niet eens zo'n heel slecht idee. Had ik nog niet eens aan gedacht. Misschien eens wat testen met een PHP MDB Class ( http://www.phpclasses.org/browse/package/1700.html ) en deze gebruiken, verder de database naar Access converteren met een username en wachtwoord.

Het hoeft niet een hele sterke beveiliging te zijn, maar het moet toch wel iets moeilijker zijn om een database na te maken.

Ik denk dat ik even een paar Database Classes ga testen.

BEDANKT :-)

Misschien mijn beperktheid in denken, maar als je een service host, waarom zou je een klant dan uberhaupt toegang geven tot de database. Of gaat het meer om systemen die je verkoopt met licentie en die zelfstandig op servers van de klant geinstalleerd worden?