Šifriranje povezave v Firebirdu 3 in VPN sta dve različni meji

VPN se poveže, odjemalec odpre sejo in vsi domnevajo, da je povezava z bazo podatkov zaščitena. Pravkar so bile zamešane tri različne stvari. Ali je poslušalec sploh dosegljiv, ali je strežnik sprejel uporabnika in ali se je Firebird pogodil o šifriranju povezave, so ločeni mehanizmi z ločenimi dokazi. Predor odgovori samo na prvo, in to samo za vire, ki ste jih dovolili.

Dve meji, ki se ne prekrivata

Meja VPN ščiti pakete med odjemalcem in prehodom. Šifriranje povezave v Firebirdu ščiti protokol baze podatkov med odjemalčevo knjižnico in procesom strežnika. Oba lahko obstajata in nobeno ne nadomesti drugega.

Če se predor konča pred gostiteljem baze podatkov, promet za njim ščiti le tisto, o čemer se je pogodila seja baze podatkov. Prav v tej vrzeli pregled običajno najde presenečenje. Diagram predora se konča pri prehodu, povezava, ki nosi vašo poizvedbo, pa se nadaljuje onkraj njega. Kdor ta diagram prebere pozneje, podeduje to domnevo.

Prva meja: kdo sme odpreti poslušalca

Ugotovite pravi naslov strežnika in konfigurirana vrata, ki so 3050, če jih niso spremenili, nato na požarnem zidu gostitelja in omrežja dovolite le odobrene vire VPN. Upoštevajte morebitno prevajanje naslovov na prehodu VPN in gostitelju baze podatkov dajte povratno pot do skupine odjemalcev, če je prehod ločen.

Nato dokažite nikalnico. Zunanja pot, ki bi morala biti zavrnjena, mora ostati zavrnjena, ker odpiranje predora samo po sebi ne omejuje poslušalca Firebirda.

Druga meja: o čem se Firebird pogaja

Firebird 3 je uvedel ogrodje za šifriranje povezave s strežniško politiko, ki jo je mogoče onemogočiti, omogočiti ali zahtevati. Politika določa spodnjo mejo. Dejanska seja je še vedno odvisna od odjemalčeve knjižnice, ki jo naloži aplikacija, in vtičnikov, ki jih podpirata obe strani.

V opombah ob izdaji Firebirda 3 je Arc4 naveden kot privzeti vtičnik za šifriranje povezave za to izdajo. Arc4 je zgodovinska privzeta vrednost, ne priporočilo sodobne šifre, in ni isto kot zunanja zaščita VPN.

Preverjanje pristnosti je tretja spremenljivka v istih pogajanjih. Strežnik sprejme nabor vtičnikov za preverjanje pristnosti, odjemalčeva knjižnica ponudi neko podmnožico in oba se morata prekrivati.

Past Legacy_Auth

Podpora za Legacy_Auth zahteva omilitev privzete politike obveznega šifriranja na strežniku. To so dokumentirani stroški združljivosti, zato je znižanje politike, da bi utišali napako povezave, varnostna sprememba in ne popravek.

Če odjemalec po nadgradnji strežnika nenadoma odpove, primerjajte sezname vtičnikov, preden karkoli oslabite. Napaka je običajno neskladje pri pogajanjih, odgovor pa je podprt vtičnik na obeh straneh.

Preverite povezavo, ki šteje

Na gradnji, ki zagotavlja kontekstno spremenljivko, ta poizvedba poroča o stanju šifriranja trenutne povezave:

SELECT RDB$GET_CONTEXT('SYSTEM', 'WIRE_ENCRYPTED')
FROM RDB$DATABASE;

Zaženite jo prek lastne povezave aplikacije, ne prek skrbniške seje na istem strežniku. Šifrirana skrbniška povezava ne pove ničesar o seji druge odjemalčeve knjižnice, starejša gradnja, ki spremenljivke ne podpira, pa ni dokaz, da je šifriranje izklopljeno.

Skupaj zabeležite različico odjemalčeve knjižnice, gradnjo strežnika in rezultat, ker nobeno od tega samo po sebi ni berljivo.

Dovoljenja in pot nadgradnje

Omejevanje virov in šifriranje prenosa ne nadomestita preverjanja pristnosti ali dovoljenj z najmanjšimi pravicami. Preverite dovoljenja običajnega uporabnika baze podatkov na objektih, ki se jih res dotika.

Nazadnje, dolgotrajno uvajanje obravnavajte kot vprašanje vzdrževanja. Predor ne naredi zastarele odjemalčeve knjižnice trajno varne, podprta pot nadgradnje pa je cenejša od odkritja, da je bil vtičnik, ki ga potrebuje, odstranjen.