Bezpieczeństwo danych w programie

Witam,
tworzę program, który służyć ma do zarządzania danymi jakiejś firmy. Statystyki sprzedaży, wprowadzanie informacji o klientach, logowanie do systemu i inne poufne dane firmy. Jak najlepiej obsłużyć takie dane? Czy stworzyć wszystko w plikach czy wykorzystać do tego bazę danych? Program służyłby też do tworzenia faktur, rachunków i generowania dokumentów w formacie .pdf. Ma ktoś jakiś pomysł na to? Zależy mi na jak największym bezpieczeństwie danych.
Pozdrawiam.

To, że bazę danych, a nie pliki to oczywiste.

A dane chcesz zabezpieczyć przed użytkownikami czy przestępcami?

Niektóre branże (medycyna, wojsko) wymagają jakichś norm i standardów, ale większość nie.

somekind napisał(a):

To, że bazę danych, a nie pliki to oczywiste.

A dane chcesz zabezpieczyć przed użytkownikami czy przestępcami?

Wiadomo jak to jest. Na świecie pełno(przepraszam za wyrażenie) imbecyli. Nigdy nie wiadomo co i kiedy któremu do głowy strzeli. Nie chcę aby ten program był narażany na jakiekolwiek ataki aby wydobyć dane z bazy danych dlatego też pytam się o bezpieczeństwo.

Rozumiem, ale nie o to pytam. :)

Po prostu Twoje pytanie można interpretować dwojako, więc czy chodzi Ci o to, żeby:

1. żaden człowiek nie dostanie się do źródła danych Twojej aplikacji (czyli de facto nie uzyska informacji o żadnych danych poufnych firmy);
2. użytkownik aplikacji mógł przeglądać tylko dane dla niego przeznaczone (czyli np. księgowa widzi faktury, ale nie widzi raportów rocznych, bo te widzi tylko prezes).

Bardziej chodzi mi o tą drugą podaną przez Ciebie opcję. Użytkownik może przeglądać dostępne dla niego elementy aplikacji(tak jak podałeś np. faktury). Po stronie programu wszystko było by załatwione, bo do niego raczej osoby niepowołane by dostępu nie miały tylko pracownicy firmy. W programie znajdować się będą konta użytkowników podzielone na odpowiednie uprawnienia takie jak np. przeglądanie, edycja i wprowadzanie danych. Problemem może się okazać samo powiązanie programu z de facto wirtualną(nienamacalną) bazą danych np. MySql.

Dodatkowo mam pytanie odnośnie samej bazy danych. Na jską najlrpiej postawić? MySQL, PostgreSQL, MS SQL, czy może jakiś odpowiednik SQLite? Najpewniej czuję się w MySQL ale czy to dobry pomysł?

Czyli chodzi Ci o standardową autoryzację w oparciu o role - po prostu do określonych ekranów aplikacji mogą mieć dostęp tylko użytkownicy w określonych rolach. Teraz kwestia technologii, w jakiej to piszesz, bo np. w ASP.NET MVC jest atrybut Authorize, który w prosty sposób zrobi to, o co Ci chodzi, natomiast jeśli piszesz na desktop, to będziesz miał więcej roboty.

Co do bazy danych - ja bym wybrał MSSQL, bo go najlepiej znam. Gdybym nie miał możliwości użycia MSSQL, wziąłbym PostgreSQL.

Chodzi mi o aplikację czysto desktopową pisaną w C#. Późnoej dane z tej bazy danych chciałbym wyświetlać na stronie, np. liczba wykonanych zleceń lub inne statystyki. Tylko nie wiem czy lokalną bazę dało by radę wykorzystać globalnie na stronie. Takie 2 w jednym. Tylko nie wiem na jaką technologię się zdecydować...

Tylko nie wiem czy lokalną bazę dało by radę wykorzystać globalnie na stronie.

Da radę, tylko musiałbyś mieć ten komputer, na którym jest postawiona lokalnie ta baza włączony cały czas, aby móc wyciągać z niego dane. Jeśli komputery są w sieci to nie ma żadnego problemu. Jeśli chciałbyś wyciągać dane spoza sieci firmy, bo byś musiał zainteresować się narzędziem NO-IP. Ale z tego co pisałeś, to użytkować to wszystko ma się tylko w firmie?

dawid4157 napisał(a):

Chodzi mi o aplikację czysto desktopową pisaną w C#.

W przypadku aplikacji desktopowej najprostsze rozwiązanie to dynamiczne budowanie menu aplikacji i ukrywanie użytkownikom pozycji menu, do których role danego użytkownika nie mają dostępu.

Późnoej dane z tej bazy danych chciałbym wyświetlać na stronie, np. liczba wykonanych zleceń lub inne statystyki. Tylko nie wiem czy lokalną bazę dało by radę wykorzystać globalnie na stronie. Takie 2 w jednym. Tylko nie wiem na jaką technologię się zdecydować...

To akurat nic niespotykanego - baza danych znajduje się na serwerze bazy danych, do tego serwera łączysz się zarówno z klientów desktopowych, jak i aplikacji webowej. Serwer bazy danych to może być fizycznie zarówno komputer na którym pracuje jeden z klientów desktopowych, serwer webowy, jak i wydzielony komputer.

Dodatkowo można zabezpieczyć dodatkowo separując klienta od serwera w ten sposób, że klient nie wysyła zapytań do tabel, tylko używa funkcji, gdzie ma m.innymi aktualny numer sesji, użytkownika i kilka innych danych, które sprawdzane są w funkcji przed wysłaniem jakichkolwiek danych. wtedy nawet przez przypadek niewłaściwa osoba nie dostanie niewłaściwych danych. Jeśli chodzi o bazę danych, to jak kolega pisał to brałbym pod uwagę MSSQL-a, Oracle'a, PostgreSQL-a, Pervasive'a - mniej więcej w tej kolejności. Z nich PostgreSQL jest darmowy. SQLite - jest dobry jako lokalna baza na konfiguracje, albo lokalne zbuforowane dane ale nie na system.

A gdybym teoretycznie bazę danych trzymał na jakimś VPS. Czy z globlnej bazy danych mogę dię odnieść w aplikacji desktopowej? Przyjmijmy już, że skorzystam z PostgreSQL, z któtego co ptawda nie korzystałem ale jest "bliższy mojemu sercu" ze względu na dobrą znajomość MySQL :)
Czy dobrym pomyłem było by uyworzenie 2 baz danych, globalnej na VPS oraz lolalnej dla programu, Podczas działamia programu dane zapisywały by się w bazie lokalnej. O określonej godzinie dane z tej bazy przedyłan
e były by do bazy globalnej i z tek nazy korzysyałbym na stronie intermetowej? Opłaca się tak kombinować, czy może jakiś imny sposób jest lepszy?

MySQL, może kiedyś stanie się dobrą bazą, na razie jest niezłą zabawką, w której trzeba rozwiązywać na około rzeczy, które na innych bazach dawno temu zostały rozwiązane. Niektóre, bardziej zaawansowane funkcje pojawiły się dość niedawno, stąd są czasem problemy z ich używaniem. Dlatego - jak całą logikę robisz (tak jak twórcy stron) w programie, to od biedy ujdzie, ale lepiej, aby pewne rzeczy wykonywały się na serwerze.

2 bazy - to niezła opcja, ale trudna w oprogramowaniu - użycie odpowiedniego systemu synchronizacji, biorąc pod uwagę, że z kilku miejsc dane mogą być podsyłane, więc jeśli nie miałeś z tym jakiś doświadczeń, to przynajmniej na początku nie porywałbym się na to.

"życie odpowiedniego systemu synchronizacji, biorąc pod uwagę, że z kilku miejsc dane mogą być podsyłane"

• Klaster ( Active - Active, Active-Pasive chodx tych nazw już się nie używa).
• Replikacja tranzakcyjna, scalająca

i takie tam,

Że co? Że jaka struktura? Przecież to są typowe rozwiązania HA. Piszę na co dzień aplikacje oparte na klastrach i rozporszonych bazach danych. Nie wiem co miał znaczyć Twój komentarz.