[Mike-Wazowski]

Prośba o poradę do #programista15k
Robię narzędzie w .NET WPF, które chcę później udostępnić jako portable exe. To narzędzie do działania potrzebuje tokena do zewnętrznego serwisu, do którego się loguje i pobiera stamtąd dane. Pytanie, jak przechować ten token w wersji produkcyjnej aplikacji? Opcje, które rozważam
1. Trzymam token w pliku konfiguracyjnym w katalogu z programem,
2. W programie jest funkcjonalność wrzucenia tokena do rejestru, użytkownik przy pierwszym uruchomieniu wkleja token, później zaciągam go z rejestru
Dodam, że program będzie działał tylko na jednym komputerze i tylko z jednym tokenem więc teoretycznie mógłbym go nawet jakoś 'wkleić' do kodu na etapie kompilacji / budowania projektu (byleby tylko nie był wklejony tam na sztywno, żeby nie poszedł na repo a wklejany przez kompilator z zewnętrznego źródła).

#programowanie

[Ziutek_Grabaz]

@Mike-Wazowski jak to jest sztywny numer to to nie token i możesz wrzucać na sztywno skoro 1 komputer i jeden token bo dlaczego nie?

[h.....8]

@Mike-Wazowski: redis

[Mike-Wazowski]

@Ziutek_Grabaz: nie rozumiem, jakie rozwiązanie proponujesz? nie wkleję na sztywno do kodu, żeby nie puścić tokena na repo

[MikoSh]

A to nie możesz po prostu napisać skryptu CMD, który ustawia wartość tego klucza w rejestrze, zapakować to w zaszyfrowane archwium, wysłać na maszynę na której to będzie chodzić, a potem ręcznie ten skrypt tam uruchomić? Jak rozumiem to Ty będziesz tam ten program instalował.

Wrzucanie sekretu do binarki może być upierdliwe, np jak z jakiegoś powodu będziesz musiał go zmienić to będzie ro wymagało przebudowania binarki bez zmiany w kodzie, trochę

[Mike-Wazowski]

@MikoSh: to jest jedno z rozwiązań, które rozważam. A powiedz mi, dużo to jest bezpieczniejsze niż trzymanie tego tokena w pliku konfiguracyjnym z punktu widzenia złośliwego oprogramowania czy czegoś co może to wykraść? Czy tak naprawdę jeden kij? Z tego co kojarzę to np. Spotify normalnie trzyma tokeny w pliku.

[MikoSh]

Moim zdaniem to żadna różnica, ani odczytanie pliku z dysku, ani odczytanie wartości klucza z rejestru nie są operacjami wymagającymi podwyższonych uprawnień, więc to żadna różnica ;)