Logo GNT
Actualités Tests & Guides Bons Plans
Twitter iPhone pliant OnePlus 11 PS5 Disney+ Orange Livebox Windows 11
Entraide Développement Développement WinDev [sécurité] Wd et Mysql sqlmanagerX

[sécurité] Wd et Mysql sqlmanagerX

11 réponses
Avatar
William
Bonsoir
en ce moment je fais pas mal de tests avec sqlmanagerX qui est super. Merci
à ceux qui mettent leurs travail à la dispostion des autres en passant, mais
une question vient me hanter

Pour faire tourner la base Mysql j'ai plusieurs solution mais la possiblité
de faire tourner la base chez l'herbergeur me semble la plus simple surtout
pour la question de maintenance. Cependant la déclaration des comptes et des
droits sur la base sont moins pratique. La question est lorsque nous nous
connectons via l'application, les mots de passe, serveur ou ip et tous ces
détails de connexion, ils passent comment?? en clair ou pas??

C'est ce qui m'embete et fait que je ne sais toujours pas où mettre le
serveur lorsque l'appli sera prete.... Si c'est chez l'hebergeur je trouve
cela assez risqué car mettre un % en wildcard donne l'accès à toutes les
bases.....

Voilà être assez clair
Bonne nuit
William


--
JoindreWilliam at hotmail.com
C'est mon adresse mail et chat :-)
Signaler un problème avec ce contenu

10 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
1 2
Avatar
Manu
> [CUT]



C'est ce qui m'embete et fait que je ne sais toujours pas où mettre le
serveur lorsque l'appli sera prete.... Si c'est chez l'hebergeur je
trouve cela assez risqué car mettre un % en wildcard donne l'accès à
toutes les bases.....



Dans notre cas, le serveur est chez le client (base déjà existante) et tout
le monde accède en root. Par contre tous les postes pouvant se connecter
sont déclarer dans MySQL (pas de %).

--
Emmanuel
Avatar
William
Bonjour
Oui je suis d'accord dans le cas où le serveur est installé sur une machine
et non pas chez l'hebergeur qui lui ne laisse pas le choix.

Gérer les ip pour savoir qui accedent doit demander presque autand de temps
en maintenance, non?? Et puis dans mon cas se ne serait pas des sites reliés
qui se connectent mais des internautes qui auront presque jamais la même ip
:-(

De toute façon cela ne répond pas vraiment à la question.
si les mots de passes sont en clair, y a pas a choisir il faut avoir la main
sur le serveur et ne pas donner accès au root au autres comptes admin et ne
mettre qu'un % pour les comptes utilisateurs 'lecture et ajout". et s'ils
petent le mot de passe de toute facçon ils n'iront pas très loin.

Cdl
William

--
JoindreWilliam at hotmail.com
C'est mon adresse mail et chat :-)

"Manu" a écrit dans le message de
news:c62dm4$l6s$

Dans notre cas, le serveur est chez le client (base déjà existante) et


tout
le monde accède en root. Par contre tous les postes pouvant se connecter
sont déclarer dans MySQL (pas de %).

--
Emmanuel




Avatar
Roumegou
Si c'est par internet qu'ils accèdent, c'est à priori depuis un site.
Donc tu feras une connexion à ta base avec un compte dédié. A toi de
prévoir les droits de ce compte.
Ce que tu dois ensuite gérer comme ip autorisées, ce sont les postes
succeptibles d'accèder à distance pour administration.

Je répond peut être à côté de la plaque, car j'avoue que ce n'est pas
encore très clair pour moi et je n'ai pas fais de tests là dessus.
Mais cela risue de devenir une de mes prochaines préoccupations.

William vient de nous annoncer :
Bonjour
Oui je suis d'accord dans le cas où le serveur est installé sur une machine
et non pas chez l'hebergeur qui lui ne laisse pas le choix.

Gérer les ip pour savoir qui accedent doit demander presque autand de temps
en maintenance, non?? Et puis dans mon cas se ne serait pas des sites reliés
qui se connectent mais des internautes qui auront presque jamais la même ip
:-(

De toute façon cela ne répond pas vraiment à la question.
si les mots de passes sont en clair, y a pas a choisir il faut avoir la main
sur le serveur et ne pas donner accès au root au autres comptes admin et ne
mettre qu'un % pour les comptes utilisateurs 'lecture et ajout". et s'ils
petent le mot de passe de toute facçon ils n'iront pas très loin.

Cdl
William

--
JoindreWilliam at hotmail.com
C'est mon adresse mail et chat :-)

"Manu" a écrit dans le message de
news:c62dm4$l6s$

Dans notre cas, le serveur est chez le client (base déjà existante) et tout
le monde accède en root. Par contre tous les postes pouvant se connecter
sont déclarer dans MySQL (pas de %).

--
Emmanuel





--
Eric Roumegou
http://cerbermail.com/?TSoulBerPA
(cliquez sur le lien ci-dessus pour me contacter en privé)
Avatar
William
re
non, nous partons un peu à coté.
Soit se ne sont que des sites de production qui se connectent et alors on
peut très bien autoriser les ip mais ce n'est pas mon cas.
Mon cas est que je dois collecter des informations après de sous traitant et
que ceux ci changent tout le temps d'ip à cause de leur FAI.

Alors soit je mets la base sur une de mes machines, soit chez l'hebergeur
mais la possiblité de configurer/autoriser est nettement moins probant dans
ce cas de figure...

le choix ne peut se porter que sur la sécurité et l'accès.

Les params de connextions au bases sont-t-is tranmis en clair?
William



--
JoindreWilliam at hotmail.com
C'est mon adresse mail et chat :-)
"Roumegou" a écrit dans le message de
news:
Si c'est par internet qu'ils accèdent, c'est à priori depuis un site.
Donc tu feras une connexion à ta base avec un compte dédié. A toi de
prévoir les droits de ce compte.
Ce que tu dois ensuite gérer comme ip autorisées, ce sont les postes
succeptibles d'accèder à distance pour administration.

Je répond peut être à côté de la plaque, car j'avoue que ce n'est pas
encore très clair pour moi et je n'ai pas fais de tests là dessus.
Mais cela risue de devenir une de mes prochaines préoccupations.

William vient de nous annoncer :
> Bonjour
> Oui je suis d'accord dans le cas où le serveur est installé sur une


machine
> et non pas chez l'hebergeur qui lui ne laisse pas le choix.
>
> Gérer les ip pour savoir qui accedent doit demander presque autand de


temps
> en maintenance, non?? Et puis dans mon cas se ne serait pas des sites


reliés
> qui se connectent mais des internautes qui auront presque jamais la


même ip
> :-(
>
> De toute façon cela ne répond pas vraiment à la question.
> si les mots de passes sont en clair, y a pas a choisir il faut avoir la


main
> sur le serveur et ne pas donner accès au root au autres comptes admin et


ne
> mettre qu'un % pour les comptes utilisateurs 'lecture et ajout". et


s'ils
> petent le mot de passe de toute facçon ils n'iront pas très loin.
>
> Cdl
> William
>
> --
> JoindreWilliam at hotmail.com
> C'est mon adresse mail et chat :-)
>
> "Manu" a écrit dans le message de
> news:c62dm4$l6s$
>>
>> Dans notre cas, le serveur est chez le client (base déjà existante) et


tout
>> le monde accède en root. Par contre tous les postes pouvant se


connecter
>> sont déclarer dans MySQL (pas de %).
>>
>> --
>> Emmanuel

--
Eric Roumegou
http://cerbermail.com/?TSoulBerPA
(cliquez sur le lien ci-dessus pour me contacter en privé)



Avatar
Gégé
> Pour faire tourner la base Mysql j'ai plusieurs solution mais la possiblité
de faire tourner la base chez l'herbergeur me semble la plus simple



As-tu validé que ton hébergeur autorise l'accès de la base autrement
qu'en mode localhost ?
Avatar
William
Re
Oui il me permet de donner l'accès. Soit pas ip soit tout le monde %
c Pour cela que je voulais savoir comment était tranmis les param de
connexion?.
S'ils sont en clair ou pas
William

--
JoindreWilliam at hotmail.com
C'est mon adresse mail et chat :-)
"Gégé" a écrit dans le message de
news:c6370a$s06$


> Pour faire tourner la base Mysql j'ai plusieurs solution mais la


possiblité
> de faire tourner la base chez l'herbergeur me semble la plus simple

As-tu validé que ton hébergeur autorise l'accès de la base autrement
qu'en mode localhost ?



Avatar
Samuel MONTAGNE
Permettez moi de m'insérer dans la conversation.
Je n'ai malheureusement pas la réponse mais j'aimerai connaitre l'hébergeur
qui permet ça car j'ai un projet où je dois stoquer la base mysql sur le
serveur de l'hébergeur de mon client et son hébergeur ne me permet pas de
gérer les droits.
Donc, si vous aviez l'url de cet hébergeur, celà me ferai gagner pas mal de
temps.

Merci d'avance.

Samuel MONTAGNE
"William" <Désolé@1.com> a écrit dans le message de
news:408525db$0$15683$
Re
Oui il me permet de donner l'accès. Soit pas ip soit tout le monde %
c Pour cela que je voulais savoir comment était tranmis les param de
connexion?.
S'ils sont en clair ou pas
William

--
JoindreWilliam at hotmail.com
C'est mon adresse mail et chat :-)
"Gégé" a écrit dans le message de
news:c6370a$s06$
>
>
> > Pour faire tourner la base Mysql j'ai plusieurs solution mais la
possiblité
> > de faire tourner la base chez l'herbergeur me semble la plus simple
>
> As-tu validé que ton hébergeur autorise l'accès de la base autrement
> qu'en mode localhost ?
>




Avatar
Eric Demeester
dans (in) fr.comp.developpement.agl.windev, "William" <Désolé@1.com>
ecrivait (wrote) :

Bonsoir William,

Ayant lu l'ensemble de la conversation et étant hébergeur moi-même, je
me permets de mettre mon grain de sel.

En passant, la conversation est très pénible à suivre quand tout le
monde répond avant les questions posées mais c'est une autre histoire.

Pour faire tourner la base Mysql j'ai plusieurs solution mais la possiblité
de faire tourner la base chez l'herbergeur me semble la plus simple surtout
pour la question de maintenance.



Avoir sa base de données chez un hébergeur présente pas mal d'avantages
en plus de celui que tu cites, comme par exemple la possibilité d'en
faire un bachup à heure fixe ou d'y donner accès à de nouvelles
personnes indépendamment de leur situation géographique.

Cependant la déclaration des comptes et des
droits sur la base sont moins pratique.



Ca dépend de l'hébergeur...

La question est lorsque nous nous
connectons via l'application, les mots de passe, serveur ou ip et tous ces
détails de connexion, ils passent comment?? en clair ou pas??



Ils peuvent passer de différentes façons. Les faire passer en clair est
évidemment une mauvaise idée, mais as-tu pensé au VPN (RPV en français,
à savoir Réseau Privé Virtuel) ?

J'exploite pour ma part une base HF sur un serveur hébergé. il s'agit
d'un serveur dédié, j'ai donc la main dessus en root, ce qui me permet
d'ajouter ou de retirer comme bon me semble des droits d'accès.

La machine est sous FreeBSD (c'est comme un Linux pour schématiser, mais
plus sécurisé et mieux adapté à Internet). Mes bases HF sont derrière
Samba, et sont sonc visibles par des clients sous Windows comme si elles
étaient sur un serveur Windows.

Les clients sont identifiés par login/password lorsqu'ils ouvrent leur
tunnel VPN. Une fois le tunnel ouvert, le serveur VPN attribue aux
clients une adresse IP en 192.168.xxx.xxx. En d'autres termes, c'est une
IP non routable, et c'est comme s'ils étaient sur un réseau local.

Ca plus le cryptage des échanges (c'est en standard dans le protocole
VPN), la quasi-totalité des risques sont supprimés.

Et ce tunnel, on peut l'ouvrir de n'importe où sans nécessité de faire
référence à l'adresse IP du client, puisque c'est le serveur qui se
charge de l'authentification sur d'autres bases.

C'est ce qui m'embete et fait que je ne sais toujours pas où mettre le
serveur lorsque l'appli sera prete.... Si c'est chez l'hebergeur je trouve
cela assez risqué car mettre un % en wildcard donne l'accès à toutes les
bases.....



Et si c'est chez toi ou chez ton client, les risques seront bien plus
élevés que chez l'hébergeur, car son métier est justement de sécuriser
au maximum les transactions. Si les données ne sont pas sur une machine
Windows, bien entendu, mais inutile d'héberger une base MySQL sur un
serveur Windows, dans la mesure ou on peut sans problème faire
autrement :)

--
Eric
Avatar
Eric Demeester
dans (in) fr.comp.developpement.agl.windev, "Samuel MONTAGNE"
ecrivait (wrote) :

Bonsoir Samuel,

Permettez moi de m'insérer dans la conversation.



Volontier, mais ce serait plus lisible si vous intercaliez vos réponses
suite à ce à quoi vous réagissez, car là la conversation est un peu
difficile à suivre...

Je n'ai malheureusement pas la réponse mais j'aimerai connaitre l'hébergeur
qui permet ça car j'ai un projet où je dois stoquer la base mysql sur le
serveur de l'hébergeur de mon client et son hébergeur ne me permet pas de
gérer les droits.



Il y a deux façons fiables de gérer les droits sur une base de données
hébergée :

- n'autoriser l'accès à la base qu'en local (dans ce cas ce sont les
scripts hébergés sur le serveur qui font le boulot et l'application
tourne chez le client dans un navigateur web) ;

- autoriser un accès distant via du VPN (cf ma réponse à William).

Donc, si vous aviez l'url de cet hébergeur, celà me ferai gagner pas mal de
temps.



Vous pouvez m'exposer vos besoins en privé (mon adresse mail est
valide), je verrai ce que nous pouvons vous proposer en fonction de vos
besoins [*].

Cordialement,

[*] Nous n'avons pas de serveurs sous Windows, mais pour MySQL, ce
n'est pas nécessaire.

--
Eric
Avatar
Daniel
Bonsoir,

"William" <Désolé@1.com> writes:

Re
Oui il me permet de donner l'accès. Soit pas ip soit tout le monde %
c Pour cela que je voulais savoir comment était tranmis les param de
connexion?.
S'ils sont en clair ou pas
William



Si tu es sur mode d'administration où tu ne passes pas par un VPN, la
réponse est probablement OUI tout est en clair. Si tu as 2 machines
chez toi, tu installes un serveur mysql, tu mets en place un sniffer,
et tu verras ton login, mot de passe en clair, et même les requêtes de
tes postes clients. Toutefois sous Mysql tu peux établir des
connexions sécurisées et cryptées sans avoir besoin de metttre en
place un vpn. Mysql doit être compilé avec l'option SSL...(raison du pr obablement)



--
suivre ce lien pour répondre:
http://cerbermail.com/?2KrV3YZXnn
Daniel
;-)
1 2