Firebird 3-ის მავთულის დაშიფვრა და VPN ორი განსხვავებული საზღვარია

VPN უკავშირდება, კლიენტი ხსნის სესიას და ყველა ფიქრობს, რომ მონაცემთა ბაზის კავშირი დაცულია. ახლახან სამი განსხვავებული რამ აირია. არის თუ არა მსმენელი საერთოდ ხელმისაწვდომი, მიიღო თუ არა სერვერმა მომხმარებელი და შეთანხმდა თუ არა Firebird მავთულის დაშიფვრაზე, ცალკეული მექანიზმებია ცალკეული მტკიცებულებებით. გვირაბი პასუხობს მხოლოდ პირველს და მხოლოდ იმ წყაროებზე, რომლებიც თქვენ დაუშვით.

ორი საზღვარი და ისინი არ ემთხვევა

VPN-ის საზღვარი იცავს პაკეტებს კლიენტსა და კარიბჭეს შორის. Firebird-ის მავთულის დაშიფვრა იცავს მონაცემთა ბაზის პროტოკოლს კლიენტის ბიბლიოთეკასა და სერვერის პროცესს შორის. ორივე შეიძლება არსებობდეს და არც ერთი არ ცვლის მეორეს.

თუ გვირაბი მთავრდება მონაცემთა ბაზის ჰოსტამდე, მის იქით ტრაფიკს იცავს მხოლოდ ის, რაზეც მონაცემთა ბაზის სესია შეთანხმდა. სწორედ ამ ნაპრალში პოულობს მიმოხილვა ჩვეულებრივ სიურპრიზს. გვირაბის დიაგრამა მთავრდება კარიბჭესთან და თქვენი მოთხოვნის მატარებელი კავშირი გრძელდება მის იქით. ვინც მოგვიანებით წაიკითხავს ამ დიაგრამას, იმეორებს ამ ვარაუდს.

პირველი საზღვარი: ვის შეუძლია მსმენელის გახსნა

განსაზღვრეთ სერვერის რეალური მისამართი და კონფიგურირებული პორტი, რომელიც არის 3050, თუ არ შეცვლილა, შემდეგ ჰოსტისა და ქსელის ფაილერებში დაუშვით მხოლოდ დამტკიცებული VPN წყაროები. გაითვალისწინეთ ნებისმიერი მისამართის თარგმანი VPN კარიბჭეზე და მიეცით მონაცემთა ბაზის ჰოსტს დაბრუნების მარშრუტი კლიენტთა აუზისკენ, თუ კარიბჭე ცალკეა.

შემდეგ დაამტკიცეთ უარყოფა. გარე გზა, რომელიც უნდა უარყოფილ იქნას, უნდა დარჩეს უარყოფილი, რადგან გვირაბის გახსნა თავისთავად არ ზღუდავს Firebird-ის მსმენელს.

მეორე საზღვარი: რაზე შეთანხმდება Firebird

Firebird 3-მა შემოიღო მავთულის დაშიფვრის ჩარჩო სერვერის პოლიტიკით, რომელიც შეიძლება იყოს გამორთული, ჩართული ან სავალდებულო. პოლიტიკა ადგენს ქვედა ზღვარს. ფაქტობრივი სესია მაინც დამოკიდებულია იმ კლიენტის ბიბლიოთეკაზე, რომელსაც აპლიკაცია ტვირთავს, და იმ დანამატებზე, რომლებსაც ორივე მხარე მხარს უჭერს.

Firebird 3-ის გამოშვების შენიშვნებში Arc4 მითითებულია როგორც ამ გამოშვების ნაგულისხმევი მავთულის დაშიფვრის დანამატი. Arc4 ისტორიული ნაგულისხმევია, არა თანამედროვე შიფრის რეკომენდაცია, და ის არ არის იგივე, რაც გარე VPN დაცვა.

ავთენტიფიკაცია მესამე ცვლადია იმავე მოლაპარაკებაში. სერვერი იღებს ავთენტიფიკაციის დანამატების ერთობლიობას, კლიენტის ბიბლიოთეკა სთავაზობს მის ქვესიმრავლეს და ორივე უნდა დაემთხვეს.

Legacy_Auth-ის ხაფანგი

Legacy_Auth-ის მხარდაჭერა მოითხოვს სერვერის ნაგულისხმევი სავალდებულო დაშიფვრის პოლიტიკის შესუსტებას. ეს არის დოკუმენტირებული თავსებადობის ღირებულება და ამიტომ პოლიტიკის დაწევა კავშირის შეცდომის ჩასახშობად უსაფრთხოების ცვლილებაა და არა შესწორება.

თუ კლიენტი სერვერის განახლების შემდეგ უცებ იწყებს ჩავარდნას, სანამ რამეს შეასუსტებთ, შეადარეთ დანამატების სიები. ჩავარდნა ჩვეულებრივ მოლაპარაკების შეუთავსებლობაა და პასუხი ორივე მხარეს მხარდაჭერილი დანამატია.

შეამოწმეთ კავშირი, რომელსაც მნიშვნელობა აქვს

იმ ბილდზე, რომელიც გვაწვდის კონტექსტის ცვლადს, ეს მოთხოვნა იუწყება მიმდინარე კავშირის დაშიფვრის მდგომარეობას:

SELECT RDB$GET_CONTEXT('SYSTEM', 'WIRE_ENCRYPTED')
FROM RDB$DATABASE;

გაუშვით ის აპლიკაციის საკუთარი კავშირით და არა ამავე სერვერზე ადმინისტრატორის სესიით. დაშიფრული ადმინისტრატორის კავშირი არაფერს ამბობს სხვა კლიენტის ბიბლიოთეკის სესიაზე და ძველი ბილდი, რომელიც ცვლადს არ უჭერს მხარს, მტკიცებულება არ არის იმისა, რომ დაშიფვრა გამორთულია.

ერთად ჩაწერეთ კლიენტის ბიბლიოთეკის ვერსია, სერვერის ბილდი და შედეგი, რადგან არც ერთი მათგანი ცალკე არ იკითხება.

უფლებები და განახლების გზა

წყაროების შეზღუდვა და ტრანსპორტის დაშიფვრა არ ცვლის ავთენტიფიკაციას ან მინიმალური უფლებების ნებართვებს. შეამოწმეთ ჩვეულებრივი მონაცემთა ბაზის მომხმარებლის უფლებები ობიექტებზე, რომლებსაც ის ნამდვილად ეხება.

და ბოლოს, გრძელვადიან განთავსებას მოვლის საკითხად მოეკიდეთ. გვირაბი მოძველებულ კლიენტის ბიბლიოთეკას უსასრულოდ უსაფრთხოს არ ხდის და მხარდაჭერილი განახლების გზა იაფია, ვიდრე აღმოაჩინოთ, რომ საჭირო დანამატი წაიშალა.