19 replies to this topic

[vrsbueno]

Eae.

Vim aki tratar de um asssunto que eh de interesse a todos.

Deixem ai sugestões de como proteger o bd, para ele naum ser aberto fora dos scritps ASP.
Tipo, tem como fazer download do BD digitando o endereço no IE.

Deem sugestões.
-----------
1- Colocar senha!

[Prog]

O arquivo de dados .MDB nunca deve ficar em uma pasta com acesso da Web.

Exemplo inseguro:

c:
|- Inetpub
  |- wwwroot
    |- arquivos
      |- conexao.asp
    |- dados
      |- meusite.mdb
      |- produtos.mdb
    |- scripts
    |- default.asp

Exemplo seguro:

c:
|- Inetpub
  |- dados
    |- meusite.mdb
    |- produtos.mdb
  |- wwwroot
    |- arquivos
      |- conexao.asp
    |- scripts
    |- default.asp

No primeiro exemplo, o qual apresenta falha de segurança, o arquivo de dados pode ser pego atravez da URL, por exemplo:
http://www.meusite.c...dos/meusite.mdb
Este é um erro muito comum, porém é o mais simples de resolver, para isto, basta tirar o arquivo de uma pasta dentro da wwwroot, desta forma, somente o arquivo de conexão vai ter acesso ao arquivo e por mais esforços que o engraçadinho faça de pegar o arquivo desta maneira, totas serão em vão.

ps.: outras técnicas podem ser utilizadas.

[vrsbueno]

Isso eh.

Mas tipo, em um script pronto, alguem leigo naum saberá fazer isso...

+ Sugestões!

Edição feita por: vrsbueno, 12/07/2004, 11:29.

[Prog]

Segurança por senha, em arquivos MDB, não é seguro (ficou um paradoxo)... mas é assim com todo produto da microsoft, de que adianta eu colocar senha no arquivo se existe um crack de senha para mesmo?? Uns dizem que este tipo de ferramenta existe para o caso de esquecimento... hehehehehehhe... "sweet dreams".

[vrsbueno]

Pensei nisso mesmo!

Pq tipo, eu to fazendo uns scripts para servir ao pessoal, mas alguem q naum tem experiencia naum saberá fazer isso... por tanto, eu queria alguma alteração no mdb para tornar ele não executável apos o download...

OBS: CHMOD naum funfa em WIN!

[Troyan]

..Realmente as senhas são besteira e o chmod não rola no windows.
..Se o cara usa Apache, pode configurar o .htaccess pra impedir acesso aos .mdb, mas usuários comuns não saberiam fazer também, e ainda tem a possibilidade do cara usar outro servidor.
..A opção mais válida é a pasta com os bancos à esquerda da raiz, mas tem o problema do usuário comum talvez não entender.

..Além dessas não conheço outras soluções (ao menos não pra .mdb's), então ou você escolhe uma, ou fica desprotegido mesmo...

....[]s

[vrsbueno]

Conclusao: Não tem como, se o usuario não tiver experiencia.

[pchardnet]

sim, ao fazer o login FTP vc visualiza duas pastas: WEB e DADOS, onde

WEB - todos os arquivos de sua HP

DADOS - seu banco de dados

[vrsbueno]

Mto bom esse assunto
esse topico devia ser pinado, ou ir para o F.A.Q.

[[webmaster]®]

Pra dificultar, coloque no seu BD um nome incomum, quem sabe alfanuméric o até.

E se seu servidor não tiver akela pasta protegida de downloads e restrita pra editar o mdb, como no brinkster, onde só a pasta DB tem permissão de escrita, coloque o BD dentro de uma pasta com nome incomum tbm e coloque uma senha no BD só pra garantir.

Seria mto difícil o kra conseguir saber o nome da pasta e do bd se for algo incomum.

Evitar nomes como (*.mdb): dados, bd, site, bancodedados, banco, acess, "NomeDoSite"; e outros comuns.

t+

[vrsbueno]

eh... mas pensa bem nos scripts prontos...

se o kra pega por exemplo, meu sistema em ZIP, abre os arquivos asp e ve a estrutura do diretório.... dai ele ve a estrura, a senha e consegue fazer o download do banco, de um site q usa o sistema...

mas tipo, para um site q eu for fazer para um firma, por exemplo, eu colocaria na pasta sem acesso html...

[Prog]

O melhor metodo de segurança em Access é não usar Access...

[::: Mr.Crowley :::]

SQL Server comanda

[vrsbueno]

+ou-

não sao todos q tem SQL no servidor.....
prefiro access por ser mais independente.