Excel σε SQL Server συνεργάτη χωρίς σχέση εμπιστοσύνης τομέα

Ένα βιβλίο εργασίας Excel που ανοίγει έναν πίνακα σε SQL Server άλλου οργανισμού χρειάζεται τρία πράγματα που συνήθως συζητούνται ως ένα: μια ταυτότητα που δέχεται ο διακομιστής, μια μεταφορά που επικυρώνει ο πελάτης και μια διαδρομή δικτύου που επιτρέπουν και οι δύο πλευρές. Η εμπιστοσύνη τομέα είναι ένας τρόπος να ικανοποιηθεί το πρώτο, και ο ευρύτερος. Το TLS ικανοποιεί το δεύτερο και δεν λέει τίποτα για το πρώτο. Η διαδρομή ικανοποιεί το τρίτο και δεν προστατεύει τίποτα από μόνη της.

Ο διαχωρισμός των τριών μετατρέπει το φύλλο εργασίας σε ένα μικρό, ελέγξιμο αίτημα αντί για μια διοικητική σχέση.

Τρεις αποφάσεις που κρύβει η ερώτηση

Ταυτότητα είναι το ποιος πιστεύει η βάση δεδομένων ότι είστε: λογαριασμός Windows από έμπιστο τομέα, σύνδεση SQL με δικό της κωδικό πρόσβασης ή ταυτότητα βάσει πιστοποιητικού. Μεταφορά είναι αν η συνεδρία είναι κρυπτογραφημένη και αν ο πελάτης ελέγχει την αλυσίδα πιστοποιητικών του διακομιστή. Διαδρομή είναι πώς τα πακέτα φτάνουν στον ακροατή, που μπορεί να είναι VPN, ιδιωτική ζεύξη ή δημόσιο τελικό σημείο με κανόνες τείχους προστασίας. Κάθε ένα ζει σε διαφορετικό σημείο και κάθε ένα μπορεί να αποτύχει μόνο του.

Η εμπιστοσύνη δάσους απαντά στο πρώτο ευρέως και είναι σχέση μεταξύ οργανισμών, όχι ρύθμιση για ένα βιβλίο εργασίας. Επίσης δεν κρυπτογραφεί τίποτα, κάτι που εκπλήσσει όσους υπέθεσαν ότι η εμπιστοσύνη ήταν ο έλεγχος ασφαλείας.

Ταυτότητα χωρίς εμπιστοσύνη δάσους

Ένας λογαριασμός που παρέχεται σκόπιμα στο περιβάλλον προορισμού μπορεί να εξυπηρετήσει μια στενότερη απαίτηση χωρίς καμία εμπιστοσύνη, εφόσον η ροή εργασίας του πελάτη μπορεί να τον χρησιμοποιήσει. Ο έλεγχος ταυτότητας SQL είναι η άλλη συνηθισμένη απάντηση όταν η πολιτική το επιτρέπει: η σύνδεση φέρει τον δικό της κύκλο ζωής διαπιστευτηρίων και δεν εντάσσεται σε τομείς ούτε παράγει ενσωματωμένο έλεγχο ταυτότητας Windows. Η ταυτότητα βάσει πιστοποιητικού ή διακριτικού είναι τρίτη επιλογή σε νεότερες πλατφόρμες. Όποια κι αν επιλέξετε, παραχωρήστε μόνο τα δικαιώματα βάσης δεδομένων που χρειάζεται πραγματικά το βιβλίο εργασίας.

Προτιμήστε έναν αποκλειστικό λογαριασμό από την προσωπική σύνδεση κάποιου. Ένα κοινόχρηστο διαπιστευτήριο σε φύλλο εργασίας είναι πρόβλημα υποστήριξης που περιμένει να συμβεί, και ένας ονομαστικός λογαριασμός καθιστά δυνατή την ανάκληση όταν το έργο τελειώσει.

Κρυπτογράφηση ναι, εμπιστοσύνη στο πιστοποιητικό;

Με το ODBC Driver 18, το Encrypt=Yes;TrustServerCertificate=No ζητά κρυπτογραφημένη συνεδρία της οποίας το πιστοποιητικό ελέγχεται πραγματικά. Η συμβολοσειρά σύνδεσης πρέπει τότε να ονομάζει τον διακομιστή που καλύπτει το πιστοποιητικό, και ο πελάτης πρέπει να εμπιστεύεται την αλυσίδα του. Το Driver 18 επίσης εφαρμόζει κρυπτογράφηση εξ ορισμού, σε αντίθεση με παλαιότερες εκδόσεις, οπότε μια παλιά συμβολοσειρά σύνδεσης μπορεί τώρα να διαπραγματεύεται TLS χωρίς να το λέει. Οι ρητές ρυθμίσεις κάνουν την επιδιωκόμενη πολιτική ορατή σε όλα τα μηχανήματα, κάτι που μετράει όταν πολλοί συντηρούν το ίδιο βιβλίο εργασίας.

Το TrustServerCertificate=Yes κρυπτογραφεί και παραλείπει την επικύρωση, που δεν είναι ισοδύναμη επιδιόρθωση για αναντιστοιχία ονόματος ή μη έμπιστη αλυσίδα. Αφαιρεί το σήμα που θα σας έλεγε ότι ο πελάτης έφτασε στο λάθος τελικό σημείο, οπότε διορθώστε το πιστοποιητικό ή το όνομα.

Η επιβολή στην πλευρά του διακομιστή είναι ξεχωριστός έλεγχος. Αν η κρυπτογράφηση πρέπει να ισχύει για κάθε πελάτη, ρυθμίστε και επαληθεύστε τη ρύθμιση εξαναγκασμένης κρυπτογράφησης του διακομιστή, γιατί μία συνεργάσιμη συμβολοσειρά σύνδεσης δεν επιβάλλει τίποτα.

Η διαδρομή δικτύου δεν είναι η προστασία

Ένας ιδιωτικός ακροατής που προσεγγίζεται μέσω VPN μειώνει την έκθεση, και το VPN πρέπει να μεταφέρει τις σωστές διαδρομές προορισμού και επιστροφής για να λειτουργήσει αυτό. Μια σήραγγα που λειτουργεί δεν αφαιρεί την ανάγκη ελέγχου ταυτότητας ή επικύρωσης πιστοποιητικού, και το TLS δεν περιορίζει ποια απομακρυσμένα συστήματα μπορούν να επιχειρήσουν σύνδεση. Αυτές είναι τρεις ξεχωριστές παρατηρήσεις: μια χειραψία TLS, μια σύνδεση VPN και ένα εξουσιοδοτημένο ερώτημα. Μόνο η τρίτη αποδεικνύει ότι το βιβλίο εργασίας διάβασε τα δεδομένα που του επιτρεπόταν να διαβάσει.

Αντισταθείτε λοιπόν στη συντόμευση να απαντήσετε σε ερώτηση εμπιστοσύνης εκθέτοντας τη βάση δεδομένων στο διαδίκτυο. Η στενή απάντηση είναι συνήθως ένας αποκλειστικός λογαριασμός, επικυρωμένη κρυπτογράφηση και μία εγκεκριμένη διαδρομή, με αυτή τη σειρά.

Επαληθεύστε με τη συνήθη ροή εργασίας του Excel: την αποδεκτή ταυτότητα, τα πραγματικά δικαιώματα και την κρυπτογράφηση που διαπραγματεύτηκε, καθένα μέσα από την προβολή συνεδρίας του ίδιου του διακομιστή.