Come proteggere le informazioni dell'account ftp nel codice sorgente di un programma

Ci sono molti vettori di attacco in questo scenario, quindi nascondere la password non aiuta:

• qualsiasi codice che dai alle persone può essere manipolato. Ciò significa che un utente malintenzionato può semplicemente impostare il suo punteggio più alto su un valore arbitrario
• ftp, nel modo in cui lo si utilizza, non è crittografato, quindi la comunicazione completa verrà visualizzata in uno sniffer di rete come Wireshark
• l'attaccante può semplicemente impostare un punto di interruzione sul costruttore della classe URL (molto semplice ma un po 'fastidioso perché di solito ci sono molte chiamate al nuovo URL ().
• l'autore dell'attacco può decompilare il codice sorgente e cercare "nuovo URL", offuscare non aiuterà perché questo metodo fa parte di l'API Java e quindi non può essere offuscata. Se non riesce a capire il codice sorgente, può aggiungere l'output di debug o semplicemente posizionare il punto di interruzione in un posto migliore.
• l'utente malintenzionato può utilizzare il codice byte migliorando per aggiungere un messaggio di registrazione al costruttore della classe URL

Quindi non importa come e dove nascondi la tua password ftp.

L'unica buona soluzione è avere un server che esegue autonomamente il calcolo dei punteggi migliori (e anche in questo modo ha il problema dei bot). Dovresti almeno utilizzare un protocollo che supporta la crittografia (https, sftp, ftps). È necessario assicurarsi che qualcuno che apprende le credenziali non possa distruggere i dati dei punteggi più alti di altri utenti. Questo può essere fatto con permessi stretti che consentono solo la creazione di nuovi file nel ftp / sftp-server o utilizzando un'applicazione web che accetta i dati e li memorizza da sé.

L'FTP è probabilmente il modo sbagliato per farlo. È un protocollo di testo chiaro, quindi chiunque abbia uno sniffer può intercettare la richiesta di autenticazione ed estrarre le credenziali, indipendentemente da quanto le offusca nel programma.

Perché non puoi semplicemente inviare alcune coppie chiave / valore al tuo server come una richiesta $ post con una sorta di autenticazione per assicurarti che non sia manipolata?

Offuscante offuscamento, suggerimento di Google che rompe qualsiasi informazione potenzialmente importante nei mandrini e la memorizza in posti casuali. Ti suggerirei di creare un database davvero semplice, con un'app web davvero semplice. App Engine ha un hosting web Java basato su quote gratuite. Ci sono altri host web gratuiti che faranno ciò di cui hai bisogno.

Memorizzando le credenziali in un programma, tuttavia, ti morderò il culo.