Kriptimi i telit në Firebird 3 dhe VPN janë dy kufij të ndryshëm

VPN lidhet, klienti hap një sesion dhe të gjithë supozojnë se lidhja me bazën e të dhënave është e sigurt. Sapo u përzien tre gjëra të ndryshme. Nëse dëgjuesi është fare i arritshëm, nëse serveri e pranoi përdoruesin dhe nëse Firebird negocioi kriptimin e telit janë mekanizma të veçantë me prova të veçanta. Tuneli përgjigjet vetëm për të parin, dhe vetëm për burimet që keni lejuar.

Dy kufij që nuk mbivendosen

Kufiri i VPN mbron paketat midis një klienti dhe një portë. Kriptimi i telit i Firebird mbron protokollin e bazës së të dhënave midis bibliotekës së klientit dhe procesit të serverit. Të dyja mund të ekzistojnë dhe asnjëra nuk zëvendëson tjetrën.

Nëse tuneli përfundon para hostit të bazës së të dhënave, trafiku përtej tij mbrohet vetëm nga ajo për të cilën negocioi sesioni i bazës së të dhënave. Pikërisht në këtë boshllëk një rishikim zakonisht gjen surprizën. Diagrami i tunelit përfundon në një portë, dhe lidhja që mbart pyetjen tuaj vazhdon përtej saj. Kushdo që e lexon atë diagram më vonë trashëgon supozimin.

Kufiri i parë: kush mund të hapë dëgjuesin

Identifikoni adresën e vërtetë të serverit dhe portin e konfiguruar, i cili është 3050 nëse nuk është ndryshuar, pastaj lejoni vetëm burimet e miratuara të VPN në firewallin e hostit dhe të rrjetit. Merrni parasysh çdo përkthim adresash në portën VPN dhe jepini hostit të bazës së të dhënave një rrugë kthimi drejt grupit të klientëve nëse porta është e veçantë.

Pastaj provoni negativin. Një rrugë e jashtme që duhet të refuzohet duhet të mbetet e refuzuar, sepse hapja e tunelit nuk e kufizon vetvetiu dëgjuesin e Firebird.

Kufiri i dytë: për çfarë negocion Firebird

Firebird 3 prezantoi një kuadër të kriptimit të telit me një politikë serveri që mund të çaktivizohet, aktivizohet ose kërkohet. Politika përcakton minimumin. Sesioni aktual varet ende nga biblioteka e klientit që ngarkon aplikacioni dhe nga shtojcat që mbështesin të dyja palët.

Në shënimet e botimit të Firebird 3 Arc4 renditet si shtojca e parazgjedhur e kriptimit të telit për atë botim. Arc4 është një parazgjedhje historike, jo një rekomandim për një shifër moderne, dhe nuk është e njëjta gjë me mbrojtjen e jashtme të VPN.

Vërtetimi është një variabël i tretë në të njëjtin negociatim. Serveri pranon një grup shtojcash vërtetimi, biblioteka e klientit ofron një nëngrup dhe të dyja duhet të mbivendosen.

Kurthi Legacy_Auth

Mbështetja e Legacy_Auth kërkon lehtësimin e politikës së parazgjedhur të kriptimit të detyrueshëm të serverit. Ky është kostoja e dokumentuar e përputhshmërisë, dhe për këtë arsye ulja e politikës për të heshtur një gabim lidhjeje është një ndryshim sigurie dhe jo një rregullim.

Nëse një klient dështon papritur pas një përditësimi të serverit, krahasoni listat e shtojcave përpara se të dobësoni diçka. Dështimi është zakonisht një mospërputhje negociatimi, dhe përgjigja është një shtojcë e mbështetur nga të dyja palët.

Kontrolloni lidhjen që ka rëndësi

Në një ndërtim që ofron variablin e kontekstit, kjo pyetje raporton gjendjen e kriptimit të lidhjes aktuale:

SELECT RDB$GET_CONTEXT('SYSTEM', 'WIRE_ENCRYPTED')
FROM RDB$DATABASE;

Ekzekutojeni përmes lidhjes së vetë aplikacionit, jo përmes një sesioni administratori në të njëjtin server. Një lidhje administratore e kriptuar nuk thotë asgjë për sesionin e një biblioteke tjetër klienti, dhe një ndërtim më i vjetër që nuk e mbështet variablin nuk është provë se kriptimi është i fikur.

Shënoni së bashku versionin e bibliotekës së klientit, ndërtimin e serverit dhe rezultatin, sepse asnjëri prej tyre vetëm nuk lexohet.

Lejet dhe rruga e përditësimit

Kufizimi i burimeve dhe kriptimi i transportit nuk zëvendësojnë vërtetimin ose lejet e privilegjit minimal. Kontrolloni lejet e përdoruesit të zakonshëm të bazës së të dhënave mbi objektet që ai prek me të vërtetë.

Së fundi, trajtojeni një vendosje afatgjatë si një çështje mirëmbajtjeje. Tuneli nuk e bën një bibliotekë klienti të vjetruar të sigurt përgjithmonë, dhe një rrugë e mbështetur përditësimi është më e lirë sesa të zbulosh se shtojca që i nevojitet është hequr.