Sécuriser connexion base de donnée

**fdc.j** · 24/06/2009, 18h23

Bonjour,

Je débute sur les bases de données en Java et je me pose une question sur la sécurité de mon code.
Je travaille actuellement sur une application J2SE (et non J2EE) qui utilise une base de donnée MySQL. La persistence est gérée avec JPA, j'ai donc un fichier persistence.xml

Dans ce fichier, ce trouve l'URL de la BDD, le nom d'utilisateur et le mot de passe pour se connecter. Toutes ces informations sont stockées en clair dans le fichier xml et je me demande si cela n'est pas risqué ?

Je ne connaît pas les bonnes pratiques en la matière et j'aimerai savoir si ces informations doivent être protégé ? Si oui comment ?

**Higestromm** · 25/08/2009, 18h45

J'ai la même problematique. Comment sécurisé les accès à la base de donnée sachant que :

Dans le code : en java on peux facilement récupérer le code à partir des fichiers compilés et donc obtenir les infos

Un fichier externe crypté ? Il est facile d'obtenir les informations de cryptage dans le code et donc de décrypter le fichier.

Existe t-il une solution ? Si non, quel est la méthode la plus sécurisée ?

**TekP@f** · 26/08/2009, 12h11

Salut,

A ma connaissance, il n'existe pas d'autre solution. Et de toute façon, il faut bien que ces données soient inscrites qq part.

En général, on externalise les données sensibles dans un même répertoire, et l'accès à ce répertoire est ensuite blindé de sécurité.

A ne pas faire : mettre ces infos dans le code source, c'est facilement décompilable.

**adiGuba** · 26/08/2009, 12h35

Salut,

Il faut sécuriser le serveur (sur lequel vous avez la main), et non pas le client !

Bref donner à chaque client un identifiant pour la base de données, et coté serveur limité les droits de cet utilisateur.

a++

**TekP@f** · 26/08/2009, 12h53

Envoyé par adiGuba

Il faut sécuriser le serveur (sur lequel vous avez la main), et non pas le client !

Pourquoi cette réflexion ?? Personne ne parlait de sécuriser le client. La question est juste de savoir où stocker le login/mot de passe attribué à chaque client.

**Higestromm** · 26/08/2009, 12h57

Ma problematique était de n'avoir aucun client (connexion à la base automatique).

Mon serveur est très bien sécurisé et du coup je pense avoir trouver un bon compromis en utilisant l'ODBC plutôt qu'une connexion direct. Du coup c'est le gestionnaire ODBC du système qui se charge de conserver les accès à la base de donnée.

Reste plus qu'a savoir si je peux restreindre l'accès ODBC à une seule application :/

**adiGuba** · 26/08/2009, 14h00

Je n'ai peut-être pas bien compris ce qui vous voulez faire !
De qui voulez-vous protéger le login/mdp ???

a++

**TekP@f** · 26/08/2009, 15h12

La demande n'est pas de moi, je peux juste dire ce que j'ai compris :

Comment protéger au mieux les identifiants de connexion à la bdd dans les pages webs ?

La solution que j'utilise : extraire les identifiants dans un fichier XML, placer ce fichier dans un répertoire sécurisé du serveur non accessible par le web.

Mais le problème semble résolu autrement par Higestromm : créer une connexion ODBC.

Ceci dit, une connexion ODBC n'est qu'une autre méthode de connexion à une base mais le problème reste le même : il existera toujours un fichier de configuration quelque part où sont placés les données sensibles (odbc.ini pour ODBC). C'est ce fichier qui doit être sécurisé.

**adiGuba** · 26/08/2009, 15h28

Envoyé par TekP@f

Comment protéger au mieux les identifiants de connexion à la bdd dans les pages webs ?

Justement non : on parle ici d'application "Java SE", donc des applications installé sur le poste client !

a++

**Higestromm** · 26/08/2009, 15h37

Oui je n'ai pas bien expliquer mon problème

Il s'agit bien d'une application Java SE (qui s'execute comme une application normale).
Cette application utilise une base de donnée distante pour fonctionner.

J'ai une contrainte : l'utilisateur ne veux pas saisir de mot de passe ni de login.

Du coup le logiciel doit se connecté tout seul à la base de donnée. Celà implique donc une faille de sécuritée car je doit bien mettre mes accès (login, pass, serveur) quelque part.

- Un fichier séparer crypté ne me parait pas être une bonne solution car l'algo de décryptage se trouve dans mon code java qui peut etre décompilé.
- Pour la même raison, les accès ne doivent pas être inscrits "en dur" dans le code
- Passer par de l'ODBC est ce qui me paraît pour le moment le plus sécurisé mais je n'ai pas encore approfondit le sujet.

Voila

je ne sait pas si c'est plus clair