C#: Lutz Roeders .NET Reflector

[bjeffbjeff]

Snublet over dette programmet i dag. Man kan tilsynelatende åpne en .exe fil laget i Visual Studio å

studere arkitekturen. Jeg åpnet noe jeg hadde laget selv og kunne se connection strengen til databasen, som viser

passordet i klartekst og blir derfor litt betenkt. Er det bare meg som programerer "feil"? Skal det være sånn?

 

Noen som har noen tanker ang dette ?

[GeirGrusom]

Du trenger ikke .NET Reflector for å få til dette, du kan bruke ildasm som følger med Visual Studio.

 

For å hindre at man kan lese ting i klartekst ut, så må du enten kryptere dataene i programmet, eller så må du bruke en .NET Obfuscator.

 

Det følger med en gratis i Visual Studio 2005, men den er forholdsvis simpel.

Men disse obfuscator verktøyene koster skjorta.

[bjeffbjeff]

Simpel som i at det er lett å komme rundt den? Er ikke dette litt tett at det er slik? Føler man ikke er så veldig trygg hvis man har en applikasjon med databasetilkobling..

[GeirGrusom]

Sånn er det uansett hvilket programmeringsspråk du bruker.

Jeg har opplevd programmer som har kryptert hele ressursdelen av programfilen.

 

En måte å gjøre det på, er å lage en datafil som inneholder den krypterte versjonen av connectionstringen din, så legger du den filen til som en ressurs i programmet, og deretter dekrypterer du stringen når programmet starter.

Da vil teksten være scrambled hvis du leser den i f.eks. ildasm.

[humblegar]

For å beskytte connection strings og liknende i dotnet:

 

Start her:

overview of protected configuration

 

Kort fortalt:

1. Putt connection string i en konfigurasjonsfil, ikke i koden din (web.config/app.config)

2. Krypter enten deler av konfigurasjonsfila, eller legg verdien kryptert i registry og henvis til den i konfigurasjonsfila).

 

Stikkord: Aspnet_setreg.exe, Aspnet_regiis.exe, System.Configuration.

 

Lykke til.

 

mvh,

humble

 

edit: angående obfuscator community edition kan den sikkert være bra nok for en liten privat appliikasjon, men for et stort prosjekt o.s.v. må man kjøpe full versjon og planlegge bruken av den ganske tidlig.

Endret 5. april 2008 av humblegar