Password access

[[Gabo]]

Sé que access trae una seguridad por nivel de usuarios, me topé con un caso que comenté en éste hilo.

Busca en la ayuda por "creación de una cuenta de usuario de seguridad", creo que eso es lo que me pasó la vez anterior.

[Gydba]

VB... Access... cuantos recuerdos me traen. En fin, para ir al punto: Access no tiene un sistema de seguridad infalible por sí sólo. Para obtener una clave de un MDB no hace falta utilizar la fuerza bruta, con cualquier programa bajado de Internet o mismo con un editor hexa y la info del formato de archivo en la mano sólo es cuestión de tiempo. De hecho hasta los archivos de sesiones (MDW) tiene el mismo problema.
Con una simple búsqueda en internet con la palabra "CRACK" y "ACCESS" dan una cantidad considerable de resultados. Además dado que tiene un cartel de M$ colgado y al tener una difusión masiva es un producto tentador para las malicias de algunas personas.

En cuanto a encriptar los datos mepa que depende mucho del tipo de aplicación. Hace un tiempo opté por la encriptación (paranoia?) de cada campo, menos de las PK, en las tablas de un motor Firebird. El resultado: lentitud en ejecución, aumento considerable de tamaño, depuración imposible mediante sentencias SQL y dificultad en la exportación/migración.

Como solución para Access yo optaría por validar las conexiones a la BD (Véase: http://support.microsoft.com/kb/287655/es, UserRoster) contra alguna lista de "conexiones buenas" ajena a la BD y por supuesto: encriptada. Claro que si hablamos de una aplicación mono-usuario yo comprimiría el archivo completo protegido por contraseña y desde la aplicación lo descomprimiría en alguna carpeta absolutamente temporal.

Saludos!

[rcuevas]

Gabo, Lo de los niveles de seguridad "por usuarios", así es como lo teníamos: había creado un nuevo fichero MDW, y a mi base de datos le habia eliminado los permisos del usuario ADMIN, el que está por defecto, y habia asignado permisos a un nueo usuario MyAppUser. Al abrir la base de datos, la abro con ese MDW mediante el usuario MyAppUser y su contraseña, pero los amigos de hexxa la reventaron.

Por cierto jachguate, he provado tu contraseña y otras cuantas, a la cual más rara, y la desencriptación del password continua siendo prácticamente instantánea.

En cuanto a la idea de Gydba de capar por conexiones, no comprendo el concepto, ni leyéndome la ayuda de Microsoft. En cuanto a comprimir y descomprimir la base de datos, inviable, no es monousuario. Encriptar los datos... supongo que lo reventarán exactamente igual...

Tiene dificil solución, pero muchas gracias a todos.

[jachguate]

Empezado por rcuevas

Por cierto jachguate, he provado tu contraseña y otras cuantas, a la cual más rara, y la desencriptación del password continua siendo prácticamente instantánea.

Esto es debido a que, como ya comentarion, seguramente access almacena la contraseña dentro del propio archivo... así las cosas, solo es cosa de saber donde encontrarla y sea la que sea la encontrarán.

Empezado por rcuevas

Encriptar los datos... supongo que lo reventarán exactamente igual...

No necesariamente, dado que el algoritmo para encriptar/desencriptar lo elegís vos, al igual que las llaves que uses. Para no dejar la llave por allí en el ejecutable y que la encuentren fácilmente, podrías a su vez almacenarla encriptada, o por fragmentos en diferentes recursos, de manera que solo teniendo el código de la aplicación resulte viable obtenerla de vuelta.

Si la habilidad de los chavos está en conseguir utilitarios que obtengan la clave de access, pero no está en romper algoritmos o claves de encriptación la van a tener difícil, incluso con algoritmos sencillos basados en shl/xor, como los que podés encontrar en la jvcl: xorEncode, xorDecode, xorString, en la unidad jvStrUtils.

Claro que también hay métodos mas elaborados ya implementados desde delphi.

Como se ha dicho antes... la contraparte de esto es que la aplicación se ralentizará.

Hasta luego.