SASGIS - SAS.Планета
View Issue Details
IDProjectCategoryView StatusDate SubmittedLast Update
0001124SAS.Планета[All Projects] Хотелкаpublic19-01-2012 17:5421-12-2012 19:43
Reportervasketsov 
Assigned Tovasketsov 
PrioritynormalSeverityfeatureReproducibilityN/A
StatusresolvedResolutionfixed 
PlatformWindowsOSVistaOS VersionUltimate
Product Version110418 
Target Version131111Fixed in Version131111 
Summary0001124: Хранение логинов и паролей для СУБД хранилищ в защищённом виде
DescriptionСуть нововведения в общем-то проста. Хранить пароли (ну и логины заодно при желании, если логин тоже нельзя светить) для СУБД тайлохранилищ не в ini-шке, а более надёжно, с шифрованием, блэкджеком и шлюхами.
Steps To Reproduce
Additional Information
TagsБД, доступ
Relationships
related to 0001113resolved vasketsov Хранилище на основе СУБД 
Attached Filesrar PWD_Save.rar (1,342) 12-12-2012 14:26
https://bugtracker.sasgis.org/file_download.php?file_id=1193&type=bug
Issue History
Date ModifiedUsernameFieldChange
19-01-2012 17:54vasketsovNew Issue
19-01-2012 17:54vasketsovAssigned To => vasketsov
19-01-2012 17:54vasketsovStatusnew => assigned
20-01-2012 11:18gpsMaxTag Attached: БД
20-01-2012 11:18gpsMaxTag Attached: доступ
20-01-2012 11:18gpsMaxTag Attached: прокси
23-01-2012 11:10vdemidovProduct Version => 110418
23-01-2012 11:10vdemidovTarget Version => 24xxxx
08-12-2012 21:53vasketsovNote Added: 0010169
12-12-2012 14:19vasketsovTag Detached: прокси
12-12-2012 14:19vasketsovRelationship addedrelated to 0001113
12-12-2012 14:26vasketsovFile Added: PWD_Save.rar
12-12-2012 14:28vasketsovNote Added: 0010186
12-12-2012 14:29vasketsovStatusassigned => resolved
12-12-2012 14:29vasketsovFixed in Version => 131111
12-12-2012 14:29vasketsovResolutionopen => fixed
21-12-2012 19:41vdemidovNote Added: 0010213
21-12-2012 19:42vdemidovTarget Version24xxxx => 131111
21-12-2012 19:42vdemidovSummaryХранение логинов и паролей в защищённом виде => Хранение логинов и паролей для СУБД хранилищ в защищённом виде
21-12-2012 19:43vdemidovDescription Updatedbug_revision_view_page.php?rev_id=4991#r4991

Notes
(0010169)
vasketsov   
08-12-2012 21:53   
Предельно конкретизируем задачу.
Для СУБД в опциях хранилища необходимо сделать возможность указать логин и пароль (чтобы никакие левые окошки не вылазили), а также галочку, чтобы оно сохранилось в зашифрованном виде и впредь подставлялось.
В такой формулировке доработка касается только TileStorage_DBMS.dll и не затрагивает EXE=ху саса вообще.
(0010186)
vasketsov   
12-12-2012 14:28   
В PWD_Save.rar файлик с описанием настроек (кому лениво в репозиторий ходить).
DLL будет приаттачена в доработке 1113.
(0010213)
vdemidov   
21-12-2012 19:41   
Старый текст хотелки:
Суть нововведения в общем-то проста. Хранить пароли (ну и логины заодно при желании, если логин тоже нельзя светить) не в ini-шке, а более надёжно, с шифрованием, блэкджеком и шлюхами.

 Винда предоставляет как минимум 2 способа хранить такие данные (ну и 3-й в реестре или ini).

 1. Защищённое хранилище, оно же Protected Storage. Требует, чтобы соответствующая служба была запущена (по умолчанию), всякие аутлуки "гадят" именно туда. Существует "просматривалка" Protected Storage. Насколько мне известно, никаких специальных прав для его использования не требуется, вообще ничего не требуется. Надёжность и безопасность низкая (служба может быть выключена, есть просматривалка). Шифрования как такового нет (просто хранится произвольный текст).

 2. LSA предоставляет возможность сохранять пароли как lsa secret. Более надёжно и безопасно.

 3. На самом деле после шифрования через LSA можно сложить пароль хоть в HKCU хоть в ini, разницы уже не будет с точки зрения надёжности.

 Возможно есть ещё варианты, я лишь перечислил то что лично использовал в коммерческих проектах. При том что вариант номер 1 я вырезал из публикуемого модуля (всё равно он нафиг не нужен по сравнению с LSA), остальное не подпадает под NDA, соответственно я могу это публиковать под GPL (ибо делал лично, права все у меня, не у "работодателей").

 Актуальность доработки вызвана реализацией подключения к СУБД. А то я дошёл до аутентификации, а сложить логин и пароль в ini не позволяет религия, равно как запрашивать даже один раз за запуск саса тоже неудобно, если речь не идёт о тестировании. Делать, так сразу нормально.

 Внешне ничего не поменяется. Все настройки по умолчанию сохранятся. Даже пока никого не напрягает, параметры аутентификации на прокси-сервере можно не скрывать. Изменения будут именно в части реализации подключения к СУБД (настройки типа кэша и конкретного кэша).
 А как захочется скрыть пароль на прокси - просто там добавится чекбокс типа "use lsa". Ничего экстраординарного от конечных пользователей для использования всего этого безобразия не потребуется, это всё же не TPM.