MySql Datenbank sperren

[Christian Marquardt]

Danke Christian. Nicht so gut für mein Vorhaben, da Daten noch einsehbar sind. Das Encrypten bei gleicher Feldlänge ist da besser.

Du hast das nicht verstanden. Ein Hash ist keine Verschlüsselung!

Beispiel

1. Du willt die Datum "Hallo Welt" gegen Veränderung schützen.
2. Du bildest aus "Hallo Welt" den Hashwert.
3. Dieser ist bsp "12edf23"
4. Diesen speicherst du zusätzlich in die DB
5. Nun greifst du auf die DB zu und liest den Text aus ("Hallo Welt")
6. Nun greifst du auf die DB zu und liest den Hashwert aus "12edf23"
7. Nun bildest du aus dem Text wieder den Hashwert.
8. diesen vergleichst du mit dem unter 6. gelesenen Wert.
9. Sind diese gleich, ist der Text nicht verändert worden

Um nun noch die Sicherheit zu erhöhen wird die Bildung des Hashwertes nicht "nur" mit den Datum vorgenommen, sondern noch mit einem Salt (Salz) einer "Zutat". Es wird der Hash dann also mit dem Datum und nur einem dir bekannten Schlüsselwort gebildet. Hier dann aus "Hallo Welt" und "Schlüsselwort"

Ich würde den Encrypter gerne erst dann drüberjagen, wenn ein nicht berechtigter User die Connection zur DB aufbaut.

Deine Awendung sollte prüfen, ob ein berechtigter User sie benutzt.

[strzata]

Entschuldige bitte, wenn ich jetzt nerve und Dir vielleicht den Tag versaue. Ich weiss es sehr zu schätzen, dass Du mir helfen willst. Außerdem ist der Lerneffekt für mich enorm hoch.
Also:
1. Mit einem Hash kann ich die DB prima vor Veränderungen schützen. Werde ich wahrscheinlich auch machen.
2. Meine Anwendung prüft natürlich die Berechtigung und zeigt keine Daten an, wenn nicht alles OK ist.
3. Die Konkurrenz auf dem Gebiet der Arztsoftware ist riesig und ständig versuchen Firmen, User abzuwerben. Sie versprechen, dass die bisherigen Daten problemlos in ihre Anwendung übertragbar sind. Denn ohne diesem Versprechen wechselt niemand seine Software. Dem wollte ich einen Riegel vorschieben bzw. es massiv erschweren.

[Christian Marquardt]

Ja, aber du musst trotzdem unterscheiden

User die Rechte an einem Schema haben und dort lesen und schreiben können
User die direkten Zugriff auf die DB/Server haben und diese ggf. kompromitieren können

Nun, diese Anforderung ist doch mit verschlüsseln zu realisieren. Des Weiteren würde ich mir die Arbeit ans Bein binden und die DB-Felder erweitern, damit eine AES/DES Verschlüsselung möglich ist. Das arbeiten mit Binärdaten "riecht" schon nach Ärger dahingehend, dass die Anwendung auf verschiedenen Clients laufen wird (ist aber nur meine Einschätzung)

Wenn du die Daten verschlüsselt hast, musst du dafür sorgen, dasss der Schlüssel nicht aus deiner Anwendung gelesen werden kann. Letztlich kann man das nicht verhindern, aber erschweren.

Weiterhin kannst du das ganze so organisieren, dass jeder Anwender einen eigenen Key für seine DB/Daten hat. Somit sind nicht gleich alle Dämme gebrochen, wenn einer gehackt wird. Aber um das wirklich eine saubere Lösung zu finden, muss man das Anwendungsdesign kennen und das auch nochmal ggf. überarbeiten

Arztsoftware hat mich auch immer interessiert. Mein Zahnarzt arbeitet da mit einer ollen Anwendung, die bestimmt viel besser gemacht werden könnte. Er meinte, dass das nciht so einfach ist, da die Arztsoftware immer noch von irgendwelchen Stellen (Krankenkassen?) zertifiziert werden müsste und das wäre sauteuer. Deshalb gibt es wohl wenige

Schon mal einen eigenen Lizenzserver in betracht gezogen?

[strzata]

Vielen vielen Dank.
Auf dem Markt gibt es über 200 Programme für die Arztpraxis. Meins ist zertifiziert. Von der KBV (Kassenärztliche Bundesvereinigung) nicht lizenzierte Programme dürfen nicht zur Abrechnung eingesetzt werden. Die Lizenzierung ist sauteuer und muss in regelmäßigen Abständen erneuert werden. Ich programmiere unter VB.Net und MySql. Hätte besser Oracle nehmen sollen. Das hackt man nicht so leicht, ist aber zu spät.
Nun noch mal ein paar Fragen (wenn Du noch nicht erschöpft bist oder keine Lust mehr hast):
Wenn jemand das root-Passwort für den Server (auch Localhost) nicht kennt, kann er ganz leicht den alten root löschen und sich als neuen root machen?
Wenn ja, was nützt es dann, wenn jeder Anwender seinen eigenen Key hat?
Was ist ein Lizenzserver?

Schöne Grüße
Norbert

[Ralf Jansen]

3. Die Konkurrenz auf dem Gebiet der Arztsoftware ist riesig und ständig versuchen Firmen, User abzuwerben. Sie versprechen, dass die bisherigen Daten problemlos in ihre Anwendung übertragbar sind. Denn ohne diesem Versprechen wechselt niemand seine Software. Dem wollte ich einen Riegel vorschieben bzw. es massiv erschweren.

Du willst also mit deiner Software nicht durch Qualität punkten sondern damit das deine bereits vorhandene User möglichst keine Chance haben deine Software jemals wieder loswerden wenn sie es sich anders überlegen(warum auch immer)? Interessant. Wie heißt dein Viru ... Sorry Software? Ich hoffe ich hab dich Missverstanden.

[Bernhard Geyer]

Sie versprechen, dass die bisherigen Daten problemlos in ihre Anwendung übertragbar sind. Denn ohne diesem Versprechen wechselt niemand seine Software. Dem wollte ich einen Riegel vorschieben bzw. es massiv erschweren.

Damit begibst du dich aber auf juristischen Glatteis. Ich bin zwar kein Experte in diesem Juristischen Bereich aber die Daten die der Anwender eingibt gehört auch dem User. Du wirst irgendeine Möglichkeit vorsehen müssen das er diese Daten extrahiere

Hätte besser Oracle nehmen sollen. Das hackt man nicht so leicht, ist aber zu spät.

Ist gehupft wie gesprungen. Auf Seite der DB-Verschlüsselung wäre jedoch eine Enterprise-Version des Oracle-Servers nötig.


Aber was anders: Zahlst du Lizenzgebühren für jeden installierten MySQL-Server den deine Anwendung einsetzt bzw. unterstützt du andere Datenbanken als MySQL? Falls nicht hast du dir mit deiner Closed-Source-SW und MySQL eh ein ziemliches Lizenzproblem aufgehalst.

[Christian Marquardt]

Damit begibst du dich aber auf juristischen Glatteis. Ich bin zwar kein Experte in diesem Juristischen Bereich aber die Daten die der Anwender eingibt gehört auch dem User. Du wirst irgendeine Möglichkeit vorsehen müssen das er diese Daten extrahiere

Screenshot :-)

offenbar sehen das google, facbook und CO anders...Ev. helfen entsprechende Lizenzvereinbarungen

[Bernhard Geyer]

Screenshot :-)

offenbar sehen das google, facbook und CO anders...Ev. helfen entsprechende Lizenzvereinbarungen

Schau mal bei Facebook unter "https://www.facebook.com/settings"

Lade eine Kopie deiner Facebook-Daten herunter.

[Christian Marquardt]

Bin nicht bei Facebook.....

[Ralf Jansen]

Lade eine Kopie deiner Facebook-Daten herunter.

Einstellungen ungleich Daten Ist aber kein Wunder wenn Facebook versucht sprachlich den Unterschied zu verwischen.

Ein Socialnetwork mit einer Arztsoftware zu vergleichen hinkt aber auch denke ich zu extrem. Ich erwarte das eine Software in diesem Bereich seine Daten neutral exportieren kann. Ich hoffe jeder Arzt fragt auch danach wenn er was neues braucht und jagt den Vertreter zum Teufel wenn die das nicht kann. Getrieben von der Angst das sein jetziger Softwarehersteller pleite geht könnte und er dann gleich auch mit dicht machen kann. Beim Socialnetwork hingegen erwartete ich so ein Feature kaum. Oder gibt es bei Facebook ein Button zum Beispiel zum exportieren meiner Trackinginformation damit ich die in Google+ wieder einspielen kann? Schließlich will ich da auch genauso hochwertige personalisierte Werbung

[Bernhard Geyer]

Ich erwarte das eine Software in diesem Bereich seine Daten neutral exportieren kann.

Ich glaube ähnliche Diskussion hatten wir schon mal hier bzw. in anderen Forum. Die Möglichkeit des Export wurde dort als zwingend Nötig angesehen, aber nicht welches Format das haben muss. So wäre der Export als PDF schon genügend und man muss keinen CSV-Export zum einfache reimport in andere Systeme bereitstellen.