spieleprogrammierer.de - Forum und Wiki zur Spieleprogrammierung und Spieleentwicklung

Hm Hm, es ist schon bekannt, dass MySQL mit einer Benutzerverwaltung daher kommt, oder nicht? Oder habe ich was verpasst, weshalb hier homebrew Lösungen propagiert werden?

Es geht darum, dass die Nutzerdaten nicht in ein Programm einkompiliert werden dürfen, weil sonst die Benutzerverwaltung für'n Arsch ist, wenn das Programm allein durch diese Authentifizierung direkte SQL-Commands absetzen darf.

Und sobald ein Nutzer mehr darf als nur lesen ist es Schrott.

An die GUID zu kommen (egal ob fest einkodiert oder per Algorithmus erzeugt) ist genauso leicht wie an die einkompilierten Zugangsdaten. Damit ist rein gar nichts gewonnen. Siehe Keygens.

Und wenn die Software in andere Hände gerät?

Schreib einfach eine Server Application, die nach Authentifizierung Commands entgegen nimmt, die entsprechenden SQL Querys baut und das Recordset zurückschickt.

Wenn er sicherstellen kann, dass es nicht raus geht oder Außenstehenden nichts nützt, weil es keine Netz-Verbindung zur Datenbank gibt, ist das alles völlig legitim, das sagten wir ja aber vorher auch schon.

Einfach ist dies jetzt nicht, und eine gute Schnittstelle und co. Sollte vor zu ziehen sein. Jedoch wenn es darum geht, dass nur der Client (solange dieser sicher verwahrt wird) mit dem Server über eine öffentliche Schnittstelle kommunizieren soll so kannst du die serialisierten Anfragen mit einem einer asymmetrischen Verschlüsselung verschlüsseln. Wobei der Client den öffentlichen Schlüssel erhält.

Somit hättest du nach außen eine einfache Schnittstelle, die erst nach dem Entschlüsseln auf dem Server Sinn ergibt (Anfrage z.B. in JSON o.ä.). Alle anderen können Daten dahin senden, aber mehr auch nicht. (Man kann der Anfrage noch eine Art Salt hinzufügen (Einwegtoken o.ä.), damit niemand die anfrage abhören kann und dann einfach wiederholt.)

Der Unterschied zu einem einkompilierten Passwort ist marginal, in meinen Augen erfüllt es aber weitestgehend deine Kriterien wenn ich sie richtig verstanden habe. Aber solange garantiert wird, dass der öffentliche Schlüssel nur in die ausgewählten Hände kommt sollte es gehen.