Firebird 3-ын утасны шифрлэлт ба VPN нь хоёр өөр хил

VPN холбогдож, клиент сесс нээж, бүгд мэдээллийн сангийн холболт хамгаалагдсан гэж таамагладаг. Яг одоо гурван өөр зүйл холилдлоо. Сонсогч ерөөсөө хүртээмжтэй юу, сервер хэрэглэгчийг хүлээж авсан уу, Firebird утасны шифрлэлтийн талаар тохиролцсон уу гэдэг нь тусдаа механизм, тусдаа нотолгоо юм. Туннель зөвхөн эхнийхэд хариулдаг бөгөөд зөвхөн таны зөвшөөрсөн эх сурвалжид.

Хоёр хил, тэд давхцдаггүй

VPN-ийн хил нь клиент ба гарцын хоорондох пакетуудыг хамгаална. Firebird-ийн утасны шифрлэлт нь клиентийн номын сан ба серверийн процессын хоорондох мэдээллийн сангийн протоколыг хамгаална. Хоёулаа байж болох бөгөөд аль нь ч нөгөөг орлохгүй.

Хэрэв туннель мэдээллийн сангийн хостоос өмнө дуусвал түүнээс цаадах урсгалыг зөвхөн мэдээллийн сангийн сесс тохиролцсон зүйл хамгаална. Яг энэ завсарт хяналт ихэвчлэн гэнэтийн зүйлийг олдог. Туннелийн диаграм нь гарц дээр дуусч, таны асуултыг зөөж буй холболт түүнээс цааш үргэлжилнэ. Тэр диаграмыг дараа уншсан хэн бүхэн энэ таамаглалыг өвлөнө.

Эхний хил: сонсогчийг хэн нээж болох

Серверийн жинхэнэ хаяг ба тохируулсан портыг тодорхойл, энэ нь өөрчлөгдөөгүй бол 3050, дараа нь хост ба сүлжээний галт ханын дээр зөвхөн батлагдсан VPN эх сурвалжид зөвшөөрөл өг. VPN гарц дээрх аливаа хаягийн орчуулгыг тооцож, гарц нь тусдаа бол мэдээллийн сангийн хостод клиентийн сан руу буцах маршрут өг.

Дараа нь үгүйсгэлийг нотол. Татгалзах ёстой гадаад зам татгалзагдсан хэвээр байх ёстой, учир нь туннель нээх нь Firebird-ийн сонсогчийг өөрөө хязгаарлахгүй.

Хоёр дахь хил: Firebird юу тохиролцдог

Firebird 3 нь идэвхгүй, идэвхтэй эсвэл заавал байх боломжтой серверийн бодлоготой утасны шифрлэлтийн хүрээг нэвтрүүлсэн. Бодлого нь доод хязгаарыг тогтоодог. Бодит сесс нь аппликейшн ачаалж буй клиентийн номын сан болон хоёр талын дэмждэг залгууруудаас хамаарна.

Firebird 3-ын хувилбарын тэмдэглэлд Arc4 нь тухайн хувилбарын анхдагч утасны шифрлэлтийн залгуур гэж жагсаагдсан. Arc4 нь түүхэн анхдагч бөгөөд орчин үеийн шифрийн зөвлөмж биш бөгөөд гадаад VPN хамгаалалттай ижил зүйл биш.

Баталгаажуулалт нь мөн тэр хэлэлцээрийн гурав дахь хувьсагч. Сервер баталгаажуулалтын залгууруудын багцыг хүлээж авдаг, клиентийн номын сан түүний дэд олонлогийг санал болгодог бөгөөд хоёулаа давхцах ёстой.

Legacy_Auth-ийн урхи

Legacy_Auth-ийг дэмжихэд серверийн анхдагч заавал шифрлэх бодлогыг сулруулах шаардлагатай. Энэ нь баримтжуулсан нийцтэй байдлын зардал бөгөөд холболтын алдааг намжаахын тулд бодлогыг буулгах нь засвар биш, аюулгүй байдлын өөрчлөлт юм.

Хэрэв серверийн шинэчлэлтийн дараа клиент гэнэт бүтэлгүйтвэл ямар нэг зүйлийг сулруулахын өмнө залгууруудын жагсаалтыг харьцуул. Бүтэлгүйтэл нь ихэвчлэн хэлэлцээрийн зөрүү бөгөөд хариулт нь хоёр талд дэмжигдсэн залгуур юм.

Чухал холболтыг шалга

Контекст хувьсагчийг өгдөг бүтээц дээр энэ асуулга одоогийн холболтын шифрлэлтийн төлөвийг мэдээлнэ:

SELECT RDB$GET_CONTEXT('SYSTEM', 'WIRE_ENCRYPTED')
FROM RDB$DATABASE;

Үүнийг аппликейшний өөрийн холболтоор ажиллуул, мөн сервер дээрх администраторын сессээр биш. Шифрлэгдсэн администраторын холболт өөр клиентийн номын сангийн сессийн талаар юу ч хэлэхгүй бөгөөд хувьсагчийг дэмждэггүй хуучин бүтээц нь шифрлэлт унтарсан гэдгийг нотлох зүйл биш.

Клиентийн номын сангийн хувилбар, серверийн бүтээц, үр дүнг хамт бич, учир нь тэдгээрийн аль нь ч ганцаараа уншигдахгүй.

Эрх ба шинэчлэлтийн зам

Эх сурвалжийг хязгаарлах, дамжуулалтыг шифрлэх нь баталгаажуулалт эсвэл хамгийн бага эрхийн зөвшөөрлийг орлохгүй. Энгийн мэдээллийн сангийн хэрэглэгчийн бодитоор хүрч буй объектууд дээрх эрхийг шалга.

Эцэст нь урт хугацааны байршуулалтыг засвар үйлчилгээний асуудал гэж үз. Туннель хуучирсан клиентийн номын санг хязгааргүй аюулгүй болгохгүй бөгөөд дэмжигдсэн шинэчлэлтийн зам нь түүнд хэрэгтэй залгуур хасагдсаныг олж мэдэхээс хямд.