Firebird 3 simli shifrlash va VPN ikki xil chegara

VPN ulanadi, mijoz seans ochadi va hamma ma'lumotlar bazasi ulanishi himoyalangan deb o'ylaydi. Hozir uch xil narsa aralashtirib yuborildi. Tinglovchi umuman erishsa bo'ladimi, server foydalanuvchini qabul qildimi va Firebird simli shifrlash bo'yicha kelishdimi, bular alohida mexanizmlar va alohida dalillar. Tunnel faqat birinchisiga javob beradi, u ham faqat siz ruxsat bergan manbalar uchun.

Ikki chegara va ular bir-biriga tushmaydi

VPN chegarasi mijoz va shlyuz o'rtasidagi paketlarni himoya qiladi. Firebird simli shifrlashi mijoz kutubxonasi va server jarayoni o'rtasidagi ma'lumotlar bazasi protokolini himoya qiladi. Ikkalasi ham bo'lishi mumkin va hech biri ikkinchisining o'rnini bosmaydi.

Agar tunnel ma'lumotlar bazasi xostidan oldin tugasa, undan naridagi trafik faqat ma'lumotlar bazasi seansi kelishgan narsa bilan himoyalanadi. Aynan shu bo'shliqda tekshiruv odatda kutilmagan hodisani topadi. Tunnel diagrammasi shlyuzda tugaydi va so'rovingizni olib yuruvchi ulanish undan narida davom etadi. Bu diagrammani keyin o'qigan har kim bu taxminni meros qilib oladi.

Birinchi chegara: tinglovchini kim ochishi mumkin

Haqiqiy server manzili va sozlangan portni aniqlang, u o'zgartirilmagan bo'lsa 3050, so'ng xost va tarmoq xavfsizlik devorlarida faqat tasdiqlangan VPN manbalariga ruxsat bering. VPN shlyuzidagi har qanday manzil tarjimasini hisobga oling va shlyuz alohida bo'lsa, ma'lumotlar bazasi xostiga mijoz hovuziga qaytish yo'lini bering.

So'ng inkorni isbotlang. Rad etilishi kerak bo'lgan tashqi yo'l rad etilgan holda qolishi kerak, chunki tunnelni ochish Firebird tinglovchisini o'z-o'zidan cheklamaydi.

Ikkinchi chegara: Firebird nima ustida kelishadi

Firebird 3 o'chirilishi, yoqilishi yoki majburiy bo'lishi mumkin bo'lgan server siyosati bilan simli shifrlash asosini kiritdi. Siyosat eng past chegarani belgilaydi. Haqiqiy seans hali ham ilova yuklaydigan mijoz kutubxonasiga va ikki tomon qo'llab-quvvatlaydigan plaginlarga bog'liq.

Firebird 3 chiqarish eslatmalarida Arc4 o'sha chiqarish uchun standart simli shifrlash plagini sifatida ko'rsatilgan. Arc4 tarixiy standart, zamonaviy shifr bo'yicha tavsiya emas va u tashqi VPN himoyasi bilan bir xil narsa emas.

Autentifikatsiya o'sha muzokaralardagi uchinchi o'zgaruvchidir. Server autentifikatsiya plaginlari to'plamini qabul qiladi, mijoz kutubxonasi uning bir qismini taklif qiladi va ikkalasi kesishishi kerak.

Legacy_Auth tuzog'i

Legacy_Authni qo'llab-quvvatlash serverning standart majburiy shifrlash siyosatini yumshatishni talab qiladi. Bu hujjatlashtirilgan moslik xarajati va shuning uchun ulanish xatosini jim qilish uchun siyosatni pasaytirish tuzatish emas, xavfsizlik o'zgarishi.

Agar server yangilanganidan keyin mijoz birdan ishlamay qolsa, biror narsani zaiflashtirishdan oldin plagin ro'yxatlarini solishtiring. Muvaffaqiyatsizlik odatda muzokara nomuvofiqligi va javob ikki tomonda qo'llab-quvvatlanadigan plagin.

Muhim ulanishni tekshiring

Kontekst o'zgaruvchisini taqdim etadigan buildda bu so'rov joriy ulanishning shifrlash holatini bildiradi:

SELECT RDB$GET_CONTEXT('SYSTEM', 'WIRE_ENCRYPTED')
FROM RDB$DATABASE;

Uni ilovaning o'z ulanishi orqali ishga tushiring, xuddi shu serverdagi administrator seansi orqali emas. Shifrlangan administrator ulanishi boshqa mijoz kutubxonasining seansi haqida hech narsa aytmaydi va o'zgaruvchini qo'llab-quvvatlamaydigan eski build shifrlash o'chirilganiga dalil emas.

Mijoz kutubxonasi versiyasini, server buildini va natijani birga yozib oling, chunki ularning hech biri yolg'iz o'qilmaydi.

Ruxsatlar va yangilash yo'li

Manbalarni cheklash va transportni shifrlash autentifikatsiya yoki eng kam imtiyoz ruxsatlarini almashtirmaydi. Oddiy ma'lumotlar bazasi foydalanuvchisining haqiqatan tegadigan obyektlardagi ruxsatlarini tekshiring.

Nihoyat, uzoq muddatli joylashtirishni xizmat ko'rsatish masalasi deb biling. Tunnel eskirgan mijoz kutubxonasini cheksiz xavfsiz qilmaydi va qo'llab-quvvatlanadigan yangilash yo'li unga kerakli plagin olib tashlanganini aniqlashdan arzonroq.