La plupart des informations que j'ai trouvées et stockées sur le stockage correct des mots de passe dans une base de données indiquent que je devrais hacher le mot de passe avec une valeur salt unique pour chaque utilisateur puis stocker ce hachage dans la base de données. Mais ce processus ne fonctionne pas pour mes besoins ...Stockage et récupération appropriés des mots de passe pour les comptes de service?
J'ai un service Windows écrit en C# qui doit se connecter à d'autres machines distantes dans différents centres de données en utilisant des comptes de service spécifiques. Ces comptes de service sont similaires aux comptes d'utilisateur de domaine, mais il n'y a pas de véritable personne derrière eux et ils disposent simplement des autorisations appropriées pour exécuter la charge utile du service sur chaque serveur spécifique. Les informations de compte de service sont stockées dans une table SQL Server, y compris le mot de passe pour chaque compte. Actuellement, j'utilise le cryptage symétrique (Rijndael) pour masquer les mots de passe dans la table DB. La clé est enregistrée dans un fichier de configuration distinct avec des autorisations d'accès strictes.
Chaque fois que le service dispose d'une charge planifiée à exécuter sur une machine distante, je recherche les informations de compte de service appropriées sur la table et les décrypte en utilisant la clé. Il y a aussi un site interne qui est essentiellement un frontal pour gérer les différents paramètres de ce service, et l'administrateur peut voir et modifier le mot de passe des comptes de service.
Est-ce une bonne approche pour sécuriser les choses? Y a-t-il des défauts évidents dans ce schéma?
Le site Web interne utilise-t-il le protocole HTTPS lors de l'envoi de mots de passe à l'arrière-plan? Vraisemblablement, la machine sur laquelle le service fonctionne est à l'abri des regards indiscrets. –
Oui et Oui ... Le site Web interne fonctionne sur https et la machine de service a un accès limité. –