Η κρυπτογράφηση καλωδίου του Firebird 3 και το VPN είναι δύο διαφορετικά όρια

Το VPN συνδέεται, ο πελάτης ανοίγει μια συνεδρία και όλοι υποθέτουν ότι η σύνδεση με τη βάση δεδομένων είναι ασφαλής. Μόλις συνενώθηκαν τρία διαφορετικά πράγματα. Το αν ο ακροατής είναι προσβάσιμος καθόλου, το αν ο διακομιστής δέχτηκε τον χρήστη και το αν ο Firebird διαπραγματεύτηκε κρυπτογράφηση καλωδίου είναι ξεχωριστοί μηχανισμοί με ξεχωριστά στοιχεία. Μια σήραγγα απαντά μόνο στο πρώτο, και μόνο για τις πηγές που επιτρέψατε.

Δύο όρια που δεν επικαλύπτονται

Το όριο του VPN προστατεύει τα πακέτα ανάμεσα σε έναν πελάτη και μια πύλη. Η κρυπτογράφηση καλωδίου του Firebird προστατεύει το πρωτόκολλο βάσης δεδομένων ανάμεσα στη βιβλιοθήκη πελάτη και τη διεργασία του διακομιστή. Και τα δύο μπορούν να υπάρχουν και κανένα δεν υποκαθιστά το άλλο.

Αν η σήραγγα τελειώνει πριν από τον ξενιστή της βάσης δεδομένων, η κίνηση πέρα από αυτήν προστατεύεται μόνο από ό,τι διαπραγματεύτηκε η συνεδρία της βάσης δεδομένων. Σε αυτό το κενό μια επισκόπηση βρίσκει συνήθως την έκπληξη. Το διάγραμμα της σήραγγας τελειώνει σε μια πύλη και η σύνδεση που μεταφέρει το ερώτημά σας συνεχίζει πέρα από αυτήν. Όποιος διαβάσει αργότερα αυτό το διάγραμμα κληρονομεί την υπόθεση.

Όριο πρώτο: ποιος μπορεί να ανοίξει τον ακροατή

Εντοπίστε την πραγματική διεύθυνση του διακομιστή και τη ρυθμισμένη θύρα, που είναι 3050 αν δεν έχει αλλάξει, και μετά επιτρέψτε μόνο τις εγκεκριμένες πηγές VPN στο τείχος προστασίας του ξενιστή και του δικτύου. Λάβετε υπόψη οποιαδήποτε μετάφραση διευθύνσεων στην πύλη VPN και δώστε στον ξενιστή της βάσης δεδομένων διαδρομή επιστροφής προς τη δεξαμενή πελατών αν η πύλη είναι ξεχωριστή.

Μετά αποδείξτε το αρνητικό. Μια εξωτερική διαδρομή που πρέπει να απορρίπτεται πρέπει να εξακολουθεί να απορρίπτεται, γιατί το άνοιγμα της σήραγγας δεν περιορίζει από μόνο του τον ακροατή του Firebird.

Όριο δεύτερο: τι διαπραγματεύεται ο Firebird

Ο Firebird 3 εισήγαγε ένα πλαίσιο κρυπτογράφησης καλωδίου με πολιτική διακομιστή που μπορεί να είναι απενεργοποιημένη, ενεργοποιημένη ή υποχρεωτική. Η πολιτική θέτει το κατώτατο όριο. Η πραγματική συνεδρία εξαρτάται ακόμη από τη βιβλιοθήκη πελάτη που φορτώνει η εφαρμογή και από τα πρόσθετα που υποστηρίζουν και οι δύο πλευρές.

Στις σημειώσεις έκδοσης του Firebird 3 το Arc4 αναφέρεται ως προεπιλεγμένο πρόσθετο κρυπτογράφησης καλωδίου για αυτή την έκδοση. Το Arc4 είναι μια ιστορική προεπιλογή, όχι σύσταση για σύγχρονο κρυπτογραφικό αλγόριθμο, και δεν είναι το ίδιο με την εξωτερική προστασία VPN.

Η αυθεντικοποίηση είναι μια τρίτη μεταβλητή στην ίδια διαπραγμάτευση. Ο διακομιστής δέχεται ένα σύνολο πρόσθετων αυθεντικοποίησης, η βιβλιοθήκη πελάτη προσφέρει ένα υποσύνολό τους και τα δύο πρέπει να επικαλύπτονται.

Η παγίδα Legacy_Auth

Η υποστήριξη Legacy_Auth απαιτεί χαλάρωση της προεπιλεγμένης πολιτικής υποχρεωτικής κρυπτογράφησης του διακομιστή. Αυτό είναι το τεκμηριωμένο κόστος συμβατότητας και γι' αυτό η μείωση της πολιτικής για να σωπάσει ένα σφάλμα σύνδεσης είναι αλλαγή ασφαλείας και όχι διόρθωση.

Αν ένας πελάτης αποτυγχάνει ξαφνικά μετά από αναβάθμιση του διακομιστή, συγκρίνετε τις λίστες πρόσθετων πριν αποδυναμώσετε οτιδήποτε. Η αποτυχία είναι συνήθως αναντιστοιχία διαπραγμάτευσης και η απάντηση είναι ένα υποστηριζόμενο πρόσθετο και στις δύο πλευρές.

Ελέγξτε τη σύνδεση που έχει σημασία

Σε μια έκδοση που παρέχει τη μεταβλητή περιβάλλοντος, αυτό το ερώτημα αναφέρει την κατάσταση κρυπτογράφησης της τρέχουσας σύνδεσης:

SELECT RDB$GET_CONTEXT('SYSTEM', 'WIRE_ENCRYPTED')
FROM RDB$DATABASE;

Εκτελέστε το μέσω της δικής της σύνδεσης της εφαρμογής, όχι μέσω συνεδρίας διαχειριστή στον ίδιο διακομιστή. Μια κρυπτογραφημένη σύνδεση διαχειριστή δεν λέει τίποτα για τη συνεδρία μιας άλλης βιβλιοθήκης πελάτη και μια παλαιότερη έκδοση που δεν υποστηρίζει τη μεταβλητή δεν είναι απόδειξη ότι η κρυπτογράφηση είναι απενεργοποιημένη.

Καταγράψτε μαζί την έκδοση της βιβλιοθήκης πελάτη, την έκδοση του διακομιστή και το αποτέλεσμα, γιατί κανένα από αυτά μόνο του δεν είναι αναγνώσιμο.

Δικαιώματα και η διαδρομή αναβάθμισης

Ο περιορισμός των πηγών και η κρυπτογράφηση της μεταφοράς δεν αντικαθιστούν την αυθεντικοποίηση ή τα δικαιώματα ελάχιστων προνομίων. Ελέγξτε τα δικαιώματα του συνηθισμένου χρήστη της βάσης δεδομένων στα αντικείμενα που πραγματικά αγγίζει.

Τέλος, αντιμετωπίστε μια μακρόχρονη εγκατάσταση ως ζήτημα συντήρησης. Μια σήραγγα δεν κάνει μια παρωχημένη βιβλιοθήκη πελάτη ασφαλή επ' αόριστον και μια υποστηριζόμενη διαδρομή αναβάθμισης είναι φθηνότερη από το να ανακαλύψετε ότι το πρόσθετο που χρειάζεται αφαιρέθηκε.