A Firebird 3 wire-titkosítása és a VPN két külön határ

A VPN kapcsolódik, a kliens munkamenetet nyit, és mindenki azt feltételezi, hogy az adatbázis-kapcsolat biztonságos. Három különböző dolgot most mostak össze. Hogy a listener egyáltalán elérhető-e, hogy a kiszolgáló elfogadta-e a felhasználót, és hogy a Firebird tárgyalt-e wire-titkosításról, külön mechanizmusok külön bizonyítékokkal. Az alagút csak az elsőre ad választ, és csak azokra a forrásokra, amelyeket engedélyezett.

Két határ, amelyek nem fedik egymást

A VPN-határ a kliens és az átjáró közötti csomagokat védi. A Firebird wire-titkosítása az adatbázis-protokollt védi a klienskönyvtár és a kiszolgálófolyamat között. Mindkettő jelen lehet, és egyik sem helyettesíti a másikat.

Ha az alagút az adatbázis-gazdagép előtt végződik, az azon túli forgalmat csak az védi, amiről az adatbázis-munkamenet tárgyalt. Pont ebben a résben találja a felülvizsgálat rendszerint a meglepetést. Az alagút ábrája egy átjárónál végződik, és a lekérdezést szállító kapcsolat azon túl folytatódik. Aki később elolvassa ezt az ábrát, örökli a feltételezést.

Első határ: ki nyithatja meg a listenert

Azonosítsa a valódi kiszolgálócímet és a beállított portot, amely 3050, ha nem változtatták meg, majd a gazdagép és a hálózat tűzfalán csak a jóváhagyott VPN-forrásokat engedje. Számoljon a VPN-átjárón történő bármilyen címfordítással, és adjon az adatbázis-gazdagépnek visszautat a klienspoolhoz, ha az átjáró különálló.

Aztán bizonyítsa a tagadást. Egy külső útvonalat, amelyet meg kell tagadni, továbbra is meg kell tagadni, mert az alagút megnyitása önmagában nem korlátozza a Firebird listenerét.

Második határ: miről tárgyal a Firebird

A Firebird 3 bevezette a wire-titkosítás keretrendszerét egy kiszolgálószabályzattal, amely letiltható, engedélyezhető vagy kötelező lehet. A szabályzat állítja be az alsó határt. A tényleges munkamenet továbbra is az alkalmazás által betöltött klienskönyvtártól és a mindkét oldal által támogatott bővítményektől függ.

A Firebird 3 kiadási jegyzetei az Arc4-et jelölik meg az adott kiadás alapértelmezett wire-titkosítási bővítményeként. Az Arc4 történelmi alapértelmezés, nem modern rejtjelezési javaslat, és nem ugyanaz, mint a külső VPN-védelem.

A hitelesítés harmadik változó ugyanabban a tárgyalásban. A kiszolgáló elfogadja a hitelesítési bővítmények egy halmazát, a klienskönyvtár ezek egy részhalmazát kínálja, és a kettőnek át kell fednie egymást.

A Legacy_Auth csapdája

A Legacy_Auth támogatásához enyhíteni kell a kiszolgáló alapértelmezett kötelező titkosítási szabályzatát. Ez a dokumentált kompatibilitási költség, és ezért a szabályzat leszállítása egy kapcsolódási hiba elnémítására biztonsági változtatás, nem javítás.

Ha egy kliens egy kiszolgálófrissítés után hirtelen meghibásodik, hasonlítsa össze a bővítménylistákat, mielőtt bármit gyengítene. A hiba rendszerint tárgyalási eltérés, és a válasz egy mindkét oldalon támogatott bővítmény.

Ellenőrizze a fontos kapcsolatot

Egy olyan builden, amely biztosítja a kontextusváltozót, ez a lekérdezés jelenti az aktuális kapcsolat titkosítási állapotát:

SELECT RDB$GET_CONTEXT('SYSTEM', 'WIRE_ENCRYPTED')
FROM RDB$DATABASE;

Az alkalmazás saját kapcsolatán keresztül futtassa, ne ugyanazon a kiszolgálón lévő rendszergazdai munkameneten keresztül. Egy titkosított rendszergazdai kapcsolat semmit sem mond egy másik klienskönyvtár munkamenetéről, és egy régebbi build, amely nem támogatja a változót, nem bizonyíték arra, hogy a titkosítás ki van kapcsolva.

Jegyezze fel együtt a klienskönyvtár verzióját, a kiszolgáló buildjét és az eredményt, mert ezek bármelyike önmagában olvashatatlan.

Jogosultságok és a frissítési útvonal

A források korlátozása és a forgalom titkosítása nem helyettesíti a hitelesítést vagy a legkisebb jogosultság elvét. Ellenőrizze az átlagos adatbázis-felhasználó engedélyeit azokon az objektumokon, amelyeket valóban érint.

Végül kezelje a hosszú életű telepítést karbantartási kérdésként. Az alagút nem teszi örökre biztonságossá az elavult klienskönyvtárat, és egy támogatott frissítési útvonal olcsóbb, mint felfedezni, hogy a szükséges bővítményt eltávolították.