Seguridad de la aplicación WinForm

Aquí hay varios vectores de ataque si alguien quisiera piratear este software. Podrían modificar el binario o reemplazar el servidor remoto por uno falso. En general, los binarios de DotNET se pueden desarmar o descompilar fácilmente a código fuente legible, de forma gratuita, consulte enlace . Peor aún, el código también se puede editar y volver a compilar casi con la misma facilidad. Por lo tanto, si tiene secretos o claves de cifrado simétricas en sus fuentes, se verán comprometidas. Esto solo se puede mitigar un poco utilizando un ofuscador de terceros, pero eso solo retrasa lo inevitable. Si ya tiene un método para omitir la autenticación basada en la marca de tiempo en su código, en realidad está haciendo que sea aún más fácil abusar. También la copia local de db podría usarse para configurar un servidor de autenticación falso.

Su esquema es vulnerable a ataques de repetición: un atacante puede manipular la configuración de fecha y hora del sistema local para engañar a su aplicación para que acepte un token de seguridad caducado.

Además, como está colocando todo el elemento de seguridad dentro de su almacenamiento local, simplemente no puede protegerlo contra el usuario local: podría, por ejemplo, ejecutar su aplicación en un depurador, detenerla directamente cuando consulte su base de datos local y toma tus datos de autenticación de la memoria.

En otras palabras, no existe una manera infalible de proteger sus datos de la forma que desee. Todo lo que puedes hacer trata de hacerlo menos fácil a través de la ofuscación.