Шифрирањето на врската во Firebird 3 и VPN-то се две различни граници

VPN-то се поврзува, клиентот отвора сесија и сите претпоставуваат дека врската со базата е обезбедена. Штотуку беа измешани три различни работи. Дали слушачот воопшто е достапен, дали серверот го прифатил корисникот и дали Firebird договорил шифрирање на врската се одделни механизми со одделни докази. Тунелот одговара само на првото, и тоа само за изворите што ги дозволивте.

Две граници што не се преклопуваат

Границата на VPN-то ги штити пакетите меѓу клиентот и портата. Шифрирањето на врската кај Firebird го штити протоколот на базата меѓу клиентската библиотека и серверскиот процес. Двете можат да бидат присутни и ниту една не ја заменува другата.

Ако тунелот завршува пред домаќинот на базата, сообраќајот зад него е заштитен само со она што го договорила сесијата на базата. Токму во оваа празнина прегледот обично ја наоѓа изненадувањето. Дијаграмот на тунелот завршува кај порта, а врската што го носи вашето барање продолжува понатаму. Секој што подоцна ќе го прочита тој дијаграм ја наследува таа претпоставка.

Прва граница: кој смее да го отвори слушачот

Утврдете ја вистинската адреса на серверот и конфигурираната порта, која е 3050 ако не е променета, потоа дозволете само одобрените VPN извори на ѕидот на домаќинот и на мрежата. Земете ја предвид секоја транслација на адреси кај VPN портата и дајте му на домаќинот на базата повратен пат до клиентскиот базен ако портата е одделна.

Потоа докажете ја негативата. Надворешниот пат што треба да биде одбиен мора да остане одбиен, бидејќи отворањето на тунелот само по себе не го ограничува слушачот на Firebird.

Втора граница: што договара Firebird

Firebird 3 воведе рамка за шифрирање на врската со серверска политика што може да биде оневозможена, овозможена или задолжителна. Политиката го поставува минимумот. Вистинската сесија сѐ уште зависи од клиентската библиотека што ја вчитува апликацијата и од приклучоците што ги поддржуваат двете страни.

Во белешките за изданието на Firebird 3 Arc4 е наведен како стандарден приклучок за шифрирање на врската за тоа издание. Arc4 е историско стандардно постапување, а не препорака за современа шифра, и не е исто што и надворешната заштита на VPN-то.

Автентикацијата е трета променлива во истото договарање. Серверот прифаќа збир на приклучоци за автентикација, клиентската библиотека нуди некое подмножество и двете мора да се преклопат.

Стапицата Legacy_Auth

Поддршката на Legacy_Auth бара олабување на стандардната политика за задолжително шифрирање на серверот. Тоа е документираната цена за компатибилност и затоа намалувањето на политиката за да се замолчи грешка при поврзување е безбедносна промена, а не поправка.

Ако клиентот одеднаш откаже по надградбата на серверот, споредете ги списоците на приклучоци пред да ослабете нешто. Откажувањето обично е несовпаѓање во договарањето, а одговорот е поддржан приклучок на двете страни.

Проверете ја врската што е важна

На изградба што ја обезбедува контекстната променлива, ова барање го известува состојбата на шифрирање на тековната врска:

SELECT RDB$GET_CONTEXT('SYSTEM', 'WIRE_ENCRYPTED')
FROM RDB$DATABASE;

Извршете го преку сопствената врска на апликацијата, а не преку администраторска сесија на истиот сервер. Шифрирана администраторска врска не кажува ништо за сесијата на друга клиентска библиотека, а постара изградба што не ја поддржува променливата не е доказ дека шифрирањето е исклучено.

Запишете ги заедно верзијата на клиентската библиотека, изградбата на серверот и резултатот, бидејќи ниту едно од нив само по себе не е читливо.

Дозволи и патот на надградба

Ограничувањето на изворите и шифрирањето на преносот не ја заменуваат автентикацијата или дозволите со најмали привилегии. Проверете ги дозволите на обичниот корисник на базата врз објектите што навистина ги допира.

На крајот, третирајте го долготрајното распоредување како прашање на одржување. Тунелот не ја прави застарената клиентска библиотека безбедна засекогаш, а поддржаниот пат на надградба е поевтин отколку да откриете дека приклучокот што ѝ треба е отстранет.