3

Eu pretendo fazer uma aplicativo com PyQt5 para emitir notificações baseados numa API que tenho. O usuário, obviamente, num primeiro acesso teria que usar o login e senha, para acessar o aplicativo. Eu gostaria de manter esse usuário autenticado após esse "primeiro acesso", para ele não precisar colocar a senha toda vez que abrir o aplicativo.

O problema é que, da última vez que eu tive a ideia de fazê-lo, fiquei na dúvida sobre como eu deveria armazenar as credenciais do usuário. Como não tenho experiência com aplicativos desktop, não faço a mínima ideia de como proceder.

Nos navegadores, geralmente, usa os cookies para poder obter informações de uma sessão.

Mas e no caso dos aplicativos desktop?

  • Seria correto armazenar a senha do usuário em um arquivo, por exemplo, para depois recuperá-la? Por exemplo, caso minha API não disponha de um token, como eu faria para sempre enviar essas credenciais para essa API, sem que o usuário tenha que intervir a cada requisição?

  • Existe alguma técnica específica em aplicações Desktop para se manter dados de uma sessão (mesmo que a aplicação seja fechada e depois aberta), assim como os navegadores podem fazer com cookies?

  • No caso específico do PyQt (ou QT), existe alguma solução para esse tipo de armazenamento?

2
  • 1
    Tem alguma restrição para você não usar a ideia do token semelhante ao que seria com a aplicação web? A diferença nesse caso é que você guardaria o token na aplicação desktop ao invés de guardar no browser.
    – Pagotti
    3/08/2018 às 20:57
  • 2
    Pra mim a pergunta é ampla, mas parte de uma possível resposta está nesse item: "Por exemplo, caso minha API não disponha de um token, como eu faria para sempre enviar essas credenciais para essa API, sem que o usuário tenha que intervir a cada requisição?" - Simples, ponha o token na API :) De qq forma, você não ia mandar a senha aberta, então outra saída seria fazer o hash e guardar só ele. Mas toda saída por esse caminho leva à possibilidade de copiar as credenciais. O bom mesmo é cada aplicação cliente guardar um token e um nonce separado
    – Largato
    3/08/2018 às 21:22

1 Resposta 1

0

Interessante sua questão!

(Essa sugestão não serve para aplicações de missão crítica ou de dados sensíveis, apps bancários etc - então cuidado onde você vai usar isso ok?!)

SOLUÇÃO FÁCIL:

Vou te dar uma sugestão: Usar uma camada simples de cifragem, um PIN, puramente e simples. Isso ajuda demais e não atrapalha em nada e combinada com um algoritmo de chave simétrica dos anos 80/90, sem ser AES.

Ao criar o cadastro do usuário, vc pede para ele criar uma senha numérica de 4 dígitos (um pin) O PIN você guarda no registro do usuário no banco. Na primeira vez você gera o primeiro token e CIFRA esse token e guarda.

User (id, email, passwd, pin, token) (uma estrutura parecida com isso)

Muito bem, você não armazenará o pin no sistema desktop. Apenas no banco remoto.

Ao fazer o primeiro login, a API devolverá o token cifrado (caso passe na autenticação).

Toda vez que o sujeito entrar pelo desktop, terá que digitar o pin (o pin vc jamais armazena localmente), nesse momento vc envia uma requisição para a API de autenticação dizendo: tenho esse pin e esse token, confere aí hehehe...

A API vai decifrar o token usando o pin como chave, se bater, aleluia ;-)

Do lado do desktop vc armazenará o token cifrado :-D somente com o token cifrado, armazenado num arquivo, tem certo grau de proteção.

(oh Deus, agora vi que sua pergunta tem 2 anos! Mas ... já que escrevi tudo, segue a sugestão)

SOLUÇÃO DE MERCADO:

Usar certificados, trocas de chaves assimétricas, vetores de inicialização corretamente variáveis com funções de sincronia. Garantir tanto o transporte por HTTPS na sua API bem como cifragem AES de preferencia de um algoritmo baseado em curvas elípticas. Isso é um curso, não dá para responder por aqui, por favor, me entenda: é bastante complexo, mas se for esse seu caso, vamos lá.

Primeiro passo: Entender como gerar par de chaves tanto no lado do cliente quanto no lado do servidor.

As chaves públicas são trocadas entre usuário e servidor ou seja: a chave pública do usuário "sobe" para o autenticador e a chave pública do "autenticador" desce para o cliente.

Basicamente, a chave privada do cliente NUNCA sobe para o servidor. Jamais. Se isso acontecer compromete a segurança e jamais a chave PRIVADA do servidor vai parar em algum cliente, se isso acontecer, a segurança e integridade do servidor de autenticação, estará totalmente comprometida.

Ainda sim, não chegamos lá. Seu sistema armazenaria um CERTIFICADO. E a autenticação usaria o CERTIFICADO e não uma senha. Esse certificado autorizaria o usuário. Aí dependendo do caso, poderia ou não, ser "selfsigned" mas para sistemas de alto grau de segurança, certificados auto-assinados sem uma entidade certificadora, não são aceitos.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .