Firebird 3 kanal şifrələməsi və VPN iki ayrı sərhəddir

VPN qoşulur, müştəri sessiya açır və hamı verilənlər bazası bağlantısının qorunduğunu fərz edir. Üç fərqli şey indicə bir-birinə qarışdırıldı. Dinləyicinin ümumiyyətlə əlçatan olub-olmadığı, serverin istifadəçini qəbul edib-etmədiyi və Firebird-in kanal şifrələməsi barədə razılaşıb-razılaşmadığı ayrı mexanizmlər və ayrı sübutlardır. Tunel yalnız birincisinə cavab verir və yalnız icazə verdiyiniz mənbələr üçün.

İki sərhəd və onlar üst-üstə düşmür

VPN sərhədi müştəri ilə şlüz arasındakı paketləri qoruyur. Firebird-in kanal şifrələməsi müştəri kitabxanası ilə server prosesi arasındakı verilənlər bazası protokolunu qoruyur. Hər ikisi eyni vaxtda ola bilər və heç biri digərini əvəz etmir.

Tunel verilənlər bazası hostundan əvvəl bitirsə, ondan sonrakı trafik yalnız verilənlər bazası sessiyasının razılaşdırdığı ilə qorunur. Məhz bu boşluqda audit adətən sürprizi tapır. Tunel diaqramı şlüzdə bitir və sorğunuzu daşıyan bağlantı ondan sonra da davam edir. Həmin diaqramı sonra oxuyan hər kəs bu fərziyyəni miras alır.

Birinci sərhəd: dinləyicini kim aça bilər

Həqiqi server ünvanını və konfiqurasiya edilmiş portu, dəyişdirilməyibsə 3050, müəyyən edin, sonra host və şəbəkə firewall-larında yalnız təsdiqlənmiş VPN mənbələrinə icazə verin. VPN şlüzündə hər hansı ünvan çevrilməsini nəzərə alın və şlüz ayrıdırsa, verilənlər bazası hostuna müştəri hovuzuna qayıdış marşrutu verin.

Sonra inkarı sübut edin. Rədd edilməli olan xarici yol yenə də rədd edilməlidir, çünki tunelin açılması Firebird dinləyicisini özlüyündə məhdudlaşdırmır.

İkinci sərhəd: Firebird nə razılaşdırır

Firebird 3 söndürülə, aktivləşdirilə və ya tələb oluna bilən server siyasəti ilə kanal şifrələmə çərçivəsi təqdim etdi. Siyasət minimumu müəyyən edir. Faktiki sessiya hələ də tətbiqin yüklədiyi müştəri kitabxanasından və hər iki tərəfin dəstəklədiyi plaginlərdən asılıdır.

Firebird 3-ün buraxılış qeydləri Arc4-ü həmin buraxılış üçün defolt kanal şifrələmə plagini kimi sadalayır. Arc4 tarixi defoltdur, müasir şifr tövsiyəsi deyil və xarici VPN qoruması ilə eyni şey deyil.

Autentifikasiya həmin danışıqlarda üçüncü dəyişəndir. Server bir sıra autentifikasiya plagini qəbul edir, müştəri kitabxanası onların bir alt çoxluğunu təklif edir və ikisi üst-üstə düşməlidir.

Legacy_Auth tələsi

Legacy_Auth dəstəyi serverin defolt məcburi şifrələmə siyasətinin yumşaldılmasını tələb edir. Bu, sənədləşdirilmiş uyğunluq xərcidir və buna görə siyasəti bağlantı xətasını susdurmaq üçün aşağı salmaq düzəliş deyil, təhlükəsizlik dəyişikliyidir.

Əgər müştəri server yenilənməsindən sonra qəflətən uğursuz olursa, hər hansı şeyi zəiflətməzdən əvvəl plagin siyahılarını müqayisə edin. Uğursuzluq adətən danışıq uyğunsuzluğudur və cavab hər iki tərəfdə dəstəklənən plagindir.

Vacib attachment-i yoxlayın

Kontekst dəyişənini təqdim edən buraxılışda bu sorğu cari attachment-in şifrələmə vəziyyətini göstərir:

SELECT RDB$GET_CONTEXT('SYSTEM', 'WIRE_ENCRYPTED')
FROM RDB$DATABASE;

Onu tətbiqin öz bağlantısı vasitəsilə işlədin, eyni serverdə administrator sessiyası ilə deyil. Şifrələnmiş admin attachment başqa müştəri kitabxanasının sessiyası barədə heç nə demir və dəyişəni dəstəkləməyən köhnə buraxılış şifrələmənin söndürüldüyünə sübut deyil.

Müştəri kitabxanasının versiyasını, server buraxılışını və nəticəni birlikdə qeyd edin, çünki onlardan hər hansı biri təkbaşına oxunmazdır.

Hüquqlar və yeniləmə yolu

Mənbələri məhdudlaşdırmaq və nəqliyyatı şifrələmək autentifikasiyanı və ya minimum səlahiyyət hüquqlarını əvəz etmir. Adi verilənlər bazası istifadəçisinin həqiqətən toxunduğu obyektlər üzərindəki icazələrini yoxlayın.

Nəhayət, uzunmüddətli yerləşdirməyə texniki xidmət məsələsi kimi yanaşın. Tunel köhnəlmiş müştəri kitabxanasını qeyri-müəyyən müddət üçün təhlükəsiz etmir və dəstəklənən yeniləmə yolu onun ehtiyac duyduğu plaginin çıxarıldığını kəşf etməkdən ucuzdur.