Firebird 3 juhtme krüptimine ja VPN on kaks eri piiri

VPN ühendub, klient avab sessiooni ja kõik eeldavad, et andmebaasiühendus on kaitstud. Äsja aeti segi kolm eri asja. Kas listener on üldse kättesaadav, kas server võttis kasutaja vastu ja kas Firebird leppis kokku juhtme krüptimises, on eraldi mehhanismid eraldi tõenditega. Tunnel vastab ainult esimesele ja ainult nendele allikatele, mille te lubasite.

Kaks piiri ja need ei kattu

VPN-i piir kaitseb pakette kliendi ja lüüsi vahel. Firebirdi juhtme krüptimine kaitseb andmebaasiprotokolli klienditeegi ja serveriprotsessi vahel. Mõlemad võivad olla olemas ja kumbki ei asenda teist.

Kui tunnel lõpeb enne andmebaasi hosti, kaitseb sellest kaugemale jäävat liiklust ainult see, mille andmebaasisessioon läbi rääkis. Just selles lüngas leiab ülevaatus tavaliselt üllatuse. Tunneliskeem lõpeb lüüsil ja teie päringut kandev ühendus jätkub sellest kaugemale. Igaüks, kes seda skeemi hiljem loeb, pärib selle eelduse.

Esimene piir: kes tohib listeneri avada

Tuvastage serveri tegelik aadress ja konfigureeritud port, mis on 3050, kui seda pole muudetud, seejärel lubage hosti ja võrgu tulemüüris ainult heakskiidetud VPN-i allikad. Arvestage VPN-i lüüsil toimuva aadressitõlkega ja andke andmebaasi hostile tagasitee kliendi basseini juurde, kui lüüs on eraldi.

Seejärel tõestage eitust. Väline tee, mis peaks olema keelatud, peab jääma keelatuks, sest tunneli avamine ei piira iseenesest Firebirdi listeneri.

Teine piir: mida Firebird läbi räägib

Firebird 3 tutvustas juhtme krüptimise raamistikku serveripoliitikaga, mille saab keelata, lubada või muuta kohustuslikuks. Poliitika määrab miinimumi. Tegelik sessioon sõltub endiselt rakenduse laaditavast klienditeegist ja pluginatest, mida mõlemad pooled toetavad.

Firebird 3 väljalaskemärkmed loetlevad Arc4 selle väljalaske vaikimisi juhtme krüptimise pluginana. Arc4 on ajalooline vaikeväärtus, mitte kaasaegse šifri soovitus, ja see ei ole sama asi kui väline VPN-kaitse.

Autentimine on samas läbirääkimises kolmas muutuja. Server võtab vastu autentimispluginete komplekti, klienditeek pakub nende alamhulka ja need kaks peavad kattuma.

Legacy_Auth lõks

Legacy_Auth toetamine nõuab serveri vaikimisi kohustusliku krüptimispoliitika lõdvendamist. See on dokumenteeritud ühilduvuskulu ja seetõttu on poliitika langetamine ühendusvea vaigistamiseks turvamuudatus, mitte parandus.

Kui klient pärast serveri uuendust ootamatult nurjub, võrrelge pluginate loendeid enne, kui midagi nõrgendate. Nurjumine on tavaliselt läbirääkimiste lahknevus ja vastus on mõlemal poolel toetatud plugin.

Kontrollige seda ühendust, mis loeb

Buildil, mis pakub kontekstimuutujat, teatab see päring praeguse ühenduse krüptimise oleku:

SELECT RDB$GET_CONTEXT('SYSTEM', 'WIRE_ENCRYPTED')
FROM RDB$DATABASE;

Käivitage see rakenduse enda ühenduse kaudu, mitte administraatori sessiooni kaudu samas serveris. Krüptitud administraatori ühendus ei ütle midagi teise klienditeegi sessiooni kohta ja vanem build, mis muutujat ei toeta, ei ole tõendiks, et krüptimine on väljas.

Kirjutage klienditeegi versioon, serveri build ja tulemus koos üles, sest ükski neist üksi ei ole loetav.

Õigused ja uuendustee

Allikate piiramine ja transpordi krüptimine ei asenda autentimist ega vähimate õiguste printsiipe. Kontrollige tavalise andmebaasikasutaja õigusi objektidele, mida ta tegelikult puudutab.

Lõpuks käsitlege pikaajalist juurutust hooldusküsimusena. Tunnel ei muuda vananenud klienditeeki määramatult turvaliseks ja toetatud uuendustee on odavam kui avastada, et vajalik plugin on eemaldatud.