Шифровање везе у Firebird-у 3 и VPN су две различите границе

VPN се повезује, клијент отвара сесију и сви претпостављају да је веза са базом података заштићена. Управо су помешане три различите ствари. Да ли је слушалац уопште доступан, да ли је сервер прихватио корисника и да ли је Firebird договорио шифровање везе су одвојени механизми са одвојеним доказима. Тунел одговара само на прво, и то само за изворе које сте дозволили.

Две границе, и оне се не преклапају

Граница VPN-а штити пакете између клијента и мрежног пролаза. Шифровање везе у Firebird-у штити протокол базе података између клијентске библиотеке и серверског процеса. Оба могу постојати, и ниједно не замењује друго.

Ако тунел завршава пре хоста базе података, саобраћај иза њега штити само оно о чему се договорила сесија базе података. Управо у тој празнини преглед обично налази изненађење. Дијаграм тунела завршава се на пролазу, а веза која носи ваш упит наставља се даље. Свако ко касније прочита тај дијаграм наслеђује ту претпоставку.

Прва граница: ко сме да отвори слушаоца

Утврдите праву адресу сервера и конфигурисани порт, који је 3050 ако није промењен, затим на заштитном зиду хоста и мреже дозволите само одобрене VPN изворе. Узмите у обзир свако превођење адреса на VPN пролазу и дајте хосту базе података повратну путању до скупа клијената ако је пролаз одвојен.

Затим докажите одрично. Спољашња путања која треба да буде одбијена мора да остане одбијена, јер отварање тунела само по себи не ограничава слушаоца Firebird-а.

Друга граница: о чему Firebird преговара

Firebird 3 увео је оквир за шифровање везе са серверском политиком која може бити онемогућена, омогућена или обавезна. Политика поставља минимум. Стварна сесија и даље зависи од клијентске библиотеке коју учитава апликација и додатака које подржавају обе стране.

У белешкама о издању Firebird-а 3 Arc4 је наведен као подразумевани додатак за шифровање везе за то издање. Arc4 је историјска подразумевана вредност, а не препорука за савремену шифру, и није исто што и спољашња заштита VPN-а.

Аутентификација је трећа променљива у истим преговорима. Сервер прихвата скуп додатака за аутентификацију, клијентска библиотека нуди неки подскуп и обоје мора да се преклапа.

Замка Legacy_Auth

Подршка за Legacy_Auth захтева ублажавање подразумеване политике обавезног шифровања на серверу. То је документована цена компатибилности и зато је снижавање политике да би се утишала грешка при повезивању безбедносна промена, а не поправка.

Ако клијент изненада откаже после надоградње сервера, упоредите листе додатака пре него што било шта ослабите. Отказ је обично неслагање у преговорима, а одговор је подржани додатак на обе стране.

Проверите везу која је важна

На градњи која обезбеђује контекстну променљиву, овај упит извештава стање шифровања тренутне везе:

SELECT RDB$GET_CONTEXT('SYSTEM', 'WIRE_ENCRYPTED')
FROM RDB$DATABASE;

Покрените га кроз сопствену везу апликације, а не кроз администраторску сесију на истом серверу. Шифрована администраторска веза не говори ништа о сесији друге клијентске библиотеке, а старија градња која не подржава променљиву није доказ да је шифровање искључено.

Забележите заједно верзију клијентске библиотеке, градњу сервера и резултат, јер ниједно од тога само за себе није читљиво.

Дозволе и пут надоградње

Ограничавање извора и шифровање преноса не замењују аутентификацију или дозволе са најмањим привилегијама. Проверите дозволе обичног корисника базе података на објектима које заиста дотиче.

На крају, третирајте дуготрајно распоређивање као питање одржавања. Тунел не чини застарелу клијентску библиотеку безбедном заувек, а подржани пут надоградње је јефтинији од откривања да је додатак који јој је потребан уклоњен.