Damien Lecan:
> Ce matin, notre client nous a montr� le manque de s�curit� de notre
> application.

Y'a des matins comme ca.

> En effet, notre application ne peut se lancer sans d�verouillage par
> login/mdp. Les �changes avec la base de donn�es sont m�mes crypt�s pour
> �viter de voler le mot de passe sur le r�seau. J'�tais m�me assez fier du
> boulot effectu�.

Peux-tu preciser le type d'appli (autonome ou client/serveur) ?

Si c'est une appli autonome, il n'y a pas de solution. L'utilisateur 
pourra toujours modifier le bytecode (meme obfusque). Et ce serait 
pareil avec du code natif (sinon on trouverait jamais de version dite 
pirate).

Si c'est une appli client/serveur, c'est tout a fait possible de la 
securiser. Non pas le code lui-meme mais les transactions. Le plus 
simple est d'avoir un objet qui va etre cree par le serveur en se basant 
sur login/mdp et transite a chaque appel (cf. classe Principal dans Corba).

On peut aussi appliquer cette idee sur un appli autonome (en deportant 
une toute petite partie du traitement qui rende l'appli inutislisable sans).

> Alors alors, l'application est peut-�tre mal con�ue ...

;-) Oui si c'est bien une appli client/serveur.
En gros, la validite de l'acces doit etre verifiee a chaque acces.
Mais normalement le middleware s'en charge.

Guillaume

Répondre à