Oracle DB et SecureString

Question

Je stocke actuellement le mot de passe de l'utilisateur dans un SecureString. Ce qui est également gardé dans le cas où la connexion à la base de données se réinitialise.

Mon problème est, j'essaye de passer ce mot de passe à un OracleParamater, mais je ne suis pas sûr s'il le soutient ou pas.

La DLL Oracle.DataAccess d'Oracle prend-elle en charge SecureString ou BStr? Depuis Si je dois le convertir en une chaîne alors cela serait un peu vaincre le but de SecureString.

--- EDIT

Je sais que SecureString est de réduire la surface d'attaque en gardant comme quelques exemplaires du mot de passe non crypté autour que possible. Le problème est qu'à un certain moment vous devez déchiffrer le mot de passe pour l'utiliser. Si je pouvais passer un char[] ou un BStr ou la chaîne sécurisée elle-même dans un OracleParameter alors je pourrais l'effacer après le retour de l'appel. Mais si je dois créer une chaîne pour la transmettre à Oracle, alors je viens de créer une nouvelle copie immuable du mot de passe. Donc je ne suis pas vraiment sûr d'avoir beaucoup gagné alors.

Answer 1

Non - autant que je sache ce que vous demandez est pas pris en charge ...

mais même si elle était soutenu la question de la sécurité demeureraient puisque le pilote Oracle utilisé (OCI) est originaire et ne sait rien de SecureString ainsi va gérer la valeur en interne sans cryptage qui à son tour signifie que cette valeur peut finir par non chiffré dans le fichier d'échange par exemple ...

Il serait un peu plus sûr si ce que vous demandez étaient pris en charge sur le côté .NET de choses mais simplement si ...

SI vous avez vraiment besoin de ce niveau de sécurité, je wo uld recommande de redéfinir cette partie de votre logiciel pour utiliser des valeurs cryptées de telle sorte que le côté serveur (Oracle DB) n'exige pas de "texte brut" mais fonctionne avec les valeurs cryptées ...

Answer 2

SecureString est un détenteur en mémoire de vos informations privées. La raison pour laquelle il a été implémenté est que si vous utilisez string simple pour conserver des informations d'utilisateur privé, même après que vous ne fassiez plus référence à cet objet et qu'il ait déjà été collecté, il est possible que le code pirate soit exécuté mémoire de processus peut toujours accéder à une donnée disponible dans cet emplacement de mémoire, donc accéder aux informations privées.

Dans le cas de SecureString, à la place, cet emplacement sera effacé de sorte que même sur le vidage de la mémoire, vous ne verrez rien en rapport avec la chaîne utilisée dans votre code.

Comme suggéré par Yahia, si vous préoccupé par la sécurité de connexion ou sécurité Transmisson de données, utilisez une connexion sécurisée à cette fin.