TLS, id-dħul fin-netwerk u l-privileġġi SQL iwieġbu mistoqsijiet differenti
L-encrypt ta’ konnessjoni, id-dħul ta’ sors u l-għoti ta’ tabella huma tliet deċiżjonijiet. Għaddihom fl-ordni qabel ma tistaqsi jekk TLS jistax jieħu post VPN.
Xi ħadd jipproponi li jingħata lil klijent login PostgreSQL biex talba għal spejjeż tivvjaġġa encrypted mill-bidu sat-tmiem. Amministratur tal-bażi tad-dejta jeħtieġ sessjoni SQL vera, u xi ħadd ieħor jipproponi minflok formola web. Iż-żewġ proposti jsolvu l-problema żbaljata, għax ebda waħda ma bdiet mill-operazzjoni li l-klijent fil-fatt iwettaq. Għaddi t-tliet deċiżjonijiet fl-ordni u l-mistoqsija dwar jekk TLS jistax jieħu post VPN twieġeb lilha nnifisha.
Ibda mill-operazzjoni li l-klijent jeħtieġ
Ikteb x'għandu jilħaq il-klijent. It-tressiq ta’ talba, il-qari ta’ ringiela waħda ta’ rapport u t-tħaddim ta’ mistoqsija immedjata huma tliet operazzjonijiet differenti bi tliet profili ta’ riskju differenti.
Imbagħad ikteb min qed jagħmel it-talba. Klijent, aġent ta’ appoġġ u amministratur mhumiex interkambjabbli anki meta jmissu l-istess tabella. Id-differenza tiddetermina kemm mill-lingwa tal-mistoqsijiet il-klijent għandu qatt jara.
Il-par ta’ tweġibiet jiddetermina l-interface. Kull ħaġa warajha hija implimentazzjoni, u l-biċċa l-kbira tad-diskussjonijiet dwar l-encryptjar huma fil-fatt diskussjonijiet dwar liema interface intgħażel.
Tliet kontrolli, tliet deċiżjonijiet
TLS awtentikat jipproteġi l-konnessjoni u jiddetermina liema identitajiet TLS jiġu aċċettati. Id-dħul fin-netwerk jiddetermina liema sorsi jistgħu jilħqu s-semmiegħ. L-awtorizzazzjoni tal-bażi tad-dejta tiddetermina liema oġġetti u azzjonijiet rwol jista’ juża.
Ebda waħda mit-tlieta ma tissostitwixxi l-oħrajn, u t-tabella tagħmilha ċara.
| Control | What it decides | What it leaves open |
|---|---|---|
| Authenticated TLS | Connection protection and which TLS identities are accepted | Which tables a database user may touch |
| Restricted network entry | Which sources reach the listener | Whether an authenticated user should run a given statement |
| Database authorization | Which objects and actions a role may use | Whether the connection arrived by an approved path |
Aqra r-ringiela li qed tiddependi fuqha qabel ma tneħħi oħra. Il-biċċa l-kbira ta’ dawn id-disinji jfallu għax kontroll ġie preżunt minflok ikkonfigurat.
SQL dirett iħalli l-politika tal-bażi tad-dejta responsabbli
B'konnessjoni diretta approvata, żomm kemm il-verifika tal-identità tas-servizz kif ukoll il-politika tal-aċċess maħsuba. L-illixkar ta’ TLS jagħmel konnessjonijiet encrypted disponibbli; ma jirrifjutax dawk mhux encrypted sakemm il-konfigurazzjoni tal-aċċess ma titlobx hekk permezz ta’ entrati hostssl.
Dik id-differenza jixirqilha tiġi ċċekkjata fil-konfigurazzjoni li qed taħdem u mhux f'mudell. Server li joffri TLS u jaċċetta test sempliċi mhuwiex id-disinn li l-biċċa l-kbira jaħsbu li nedew. Aqra r-regoli tal-aċċess u ara liema entrati fil-fatt jeħtieġuh. Dak iċ-ċek wieħed jifred server kapaċi jencrypta minn server biss encrypted.
Uża rwoli biss bil-privileġġi li l-ħidma teħtieġ, u rrevedi s-sjieda, is-sħubija wirtita u l-permessi mogħtija b'mod wiesa'. Il-mudell tal-privileġġi ta’ PostgreSQL huwa l-limitu tal-awtorità għall-oġġetti tal-bażi tad-dejta.
VPN jista’ jirrestrinġi liema apparati jilħqu s-servizz qabel ma sseħħ l-awtentikazzjoni tal-bażi tad-dejta, u gateway tal-aċċess jista’ jagħmel xi ħaġa simili. Ebda waħda minnhom ma tneħħi l-ħtieġa li l-komponent espost jinżamm, il-kredenzjali jiġu ġestiti u l-użu tar-riżorsi jiġi limitat.
Iċ-ċertifikati tal-klijent huma kredenzjal, mhux ACL
Ċertifikat tal-klijent jista’ jżid rekwiżit fil-waqt tal-konnessjoni. Is-setting clientcert jista’ jitlob ċertifikat fiduċjarju u, fil-modalità aktar stretta, relazzjoni bejn l-isem taċ-ċertifikat u l-utent tal-bażi tad-dejta.
Dan huwa kredenzjal aktar qawwi. Mhuwiex lista ta’ awtorizzazzjoni, u ma jagħmilx is-server inviżibbli, għax il-komponent li jaċċetta l-konnessjoni xorta jipproċessa traffiku tan-netwerk u handshake. It-trattament ta’ ċertifikat bħala lista ta’ aċċess iħalli l-permessi reali mhux mittiefsa. Għandu wkoll tendenza jwessa’ d-distribuzzjoni taċ-ċertifikati, li toħloq il-problema li jmiss.
Ċertifikat qawwi marbut ma’ rwol b'privileġġi żejda jipproduċi amministratur awtentikat sew. Iċċekkja r-rwol qabel ma tiċċelebra ċ-ċertifikat.
Agħżel l-interface idjaq meta taqbel
Għal talba għal spejjeż, endpoint ta’ applikazzjoni li jaċċetta t-talba, iqiegħed fis-seħħ ir-regoli tan-negozju u jirritorna r-riżultat permess ta’ dak l-utent jirrappreżenta l-operazzjoni aħjar minn kont SQL ġenerali.
Imbagħad l-applikazzjoni tuża l-identità ristretta tagħha stess fil-bażi tad-dejta, u l-klijent qatt ma jirċievi lingwa ta’ mistoqsijiet bħala karatteristika. Dik hija wiċċ iżgħar b'inqas modi kif tkun żbaljat.
Din hija għażla tad-disinn u mhux talba li l-kodiċi tal-applikazzjoni huwa awtomatikament aktar sigur. Dak il-kodiċi għandu jawtentika lil min isejjaħ, jawtorizza kull azzjoni u jivvalida l-input tiegħu, u l-permessi tiegħu stess fil-bażi tad-dejta għadhom importanti.
SQL dirett jibqa’ korrett għal nies u għodod li l-ħidma approvata tagħhom teħtieġu. Irrestrinġi dak id-disinn b'rwoli, ambitu tan-netwerk u limiti operattivi, u ħalli lill-klijenti l-oħra jżommu l-interface idjaq. It-taħlit taż-żewġ popolazzjonijiet f'rwol wieħed huwa fejn jibdew id-diskussjonijiet.