Penyulitan wayar Firebird 3 dan VPN ialah dua sempadan berbeza

VPN bersambung, klien membuka sesi, dan semua orang menganggap sambungan pangkalan data dilindungi. Tiga perkara berbeza baru sahaja dicampurkan. Sama ada pendengar boleh dicapai, sama ada pelayan menerima pengguna, dan sama ada Firebird merundingkan penyulitan wayar ialah mekanisme berasingan dengan bukti berasingan. Terowong hanya menjawab yang pertama, dan hanya untuk sumber yang anda benarkan.

Dua sempadan yang tidak bertindih

Sempadan VPN melindungi paket antara klien dan get laluan. Penyulitan wayar Firebird melindungi protokol pangkalan data antara pustaka klien dan proses pelayan. Kedua-duanya boleh hadir, dan tiada satu menggantikan yang lain.

Jika terowong berakhir sebelum hos pangkalan data, trafik di luarnya hanya dilindungi oleh apa yang dirundingkan oleh sesi pangkalan data. Di celah itulah semakan biasanya menemui kejutan. Gambar rajah terowong berakhir di get laluan, dan sambungan yang membawa pertanyaan anda berterusan melewatinya. Sesiapa yang membaca rajah itu kemudian mewarisi andaian itu.

Sempadan satu: siapa yang boleh membuka pendengar

Kenal pasti alamat pelayan sebenar dan port yang dikonfigurasikan, iaitu 3050 melainkan ia telah diubah, kemudian benarkan hanya sumber VPN yang diluluskan pada tembok api hos dan rangkaian. Ambil kira sebarang terjemahan alamat di get laluan VPN, dan beri hos pangkalan data laluan balik ke kumpulan klien jika get laluan berasingan.

Kemudian buktikan yang negatif. Laluan luaran yang sepatutnya ditolak mesti kekal ditolak, kerana membuka terowong tidak mengehadkan pendengar Firebird dengan sendirinya.

Sempadan dua: apa yang Firebird rundingkan

Firebird 3 memperkenalkan kerangka penyulitan wayar dengan dasar pelayan yang boleh dilumpuhkan, didayakan atau diwajibkan. Dasar itu menetapkan tahap minimum. Sesi sebenar masih bergantung pada pustaka klien yang dimuatkan oleh aplikasi dan pemalam yang disokong oleh kedua-dua pihak.

Dalam nota keluaran Firebird 3 Arc4 disenaraikan sebagai pemalam penyulitan wayar lalai untuk keluaran itu. Arc4 ialah lalai sejarah, bukan cadangan sifer moden, dan ia bukan perkara yang sama dengan perlindungan VPN luar.

Pengesahan ialah pemboleh ubah ketiga dalam rundingan yang sama. Pelayan menerima satu set pemalam pengesahan, pustaka klien menawarkan subset daripadanya, dan kedua-duanya mesti bertindih.

Perangkap Legacy_Auth

Menyokong Legacy_Auth memerlukan pelonggaran dasar penyulitan wajib lalai pelayan. Itulah kos keserasian yang didokumenkan, dan sebab itulah menurunkan dasar untuk mendiamkan ralat sambungan ialah perubahan keselamatan, bukan pembaikan.

Jika klien tiba-tiba gagal selepas peningkatan pelayan, bandingkan senarai pemalam sebelum melemahkan apa-apa. Kegagalan biasanya ketidakpadanan rundingan, dan jawapannya ialah pemalam yang disokong di kedua-dua pihak.

Semak sambungan yang penting

Pada binaan yang menyediakan pemboleh ubah konteks, pertanyaan ini melaporkan keadaan penyulitan sambungan semasa:

SELECT RDB$GET_CONTEXT('SYSTEM', 'WIRE_ENCRYPTED')
FROM RDB$DATABASE;

Jalankannya melalui sambungan aplikasi itu sendiri, bukan melalui sesi pentadbir pada pelayan yang sama. Sambungan pentadbir yang disulitkan tidak memberitahu apa-apa tentang sesi pustaka klien lain, dan binaan lama yang tidak menyokong pemboleh ubah itu bukan bukti bahawa penyulitan dimatikan.

Catatkan versi pustaka klien, binaan pelayan dan hasilnya bersama-sama, kerana mana-mana satu daripadanya tidak boleh dibaca.

Kebenaran dan laluan peningkatan

Menghadkan sumber dan menyulitkan pengangkutan tidak menggantikan pengesahan atau kebenaran keistimewaan minimum. Semak kebenaran pengguna pangkalan data biasa pada objek yang benar-benar disentuhnya.

Akhir sekali, anggap penggunaan jangka panjang sebagai persoalan penyelenggaraan. Terowong tidak menjadikan pustaka klien usang selamat selama-lamanya, dan laluan peningkatan yang disokong lebih murah daripada menemui bahawa pemalam yang diperlukannya telah dibuang.