Datenbankverschlüsselung

[Delphianer]

Hallo,

ich soll für einen Kunden ein Datenbankprogramm entwickeln. Da der Datenbank-Server in einer unsicheren Umgebung läuft, suche ich eine Client-Server-Datenbank mit Verschlüsselung.

Firebird bietet das Feature wahrscheinlich ab Version 3 (voraussichtlich 11/2014), das ist aber leider zu spät.
Bei Oracle muss man für die Verschlüsselung die Enterprise-Version kaufen, der Preis dafür ist jenseits von gut und büse.
Interbase XE3 bietet RSA-Verschlüsselung und scheint auch von der Preisgestaltung für meine Zwecke optimal zu sein. Ich habe eine Server-Version für rund 200€ gekauft, nach ein paar Anfangsschwierigkeiten konnte ich die Vershlüsselung aktivieren. Auch bei der Performance kann ich momentan keine großen Probleme feststellen.

Meine Fragen dazu:
Hat jemand Interbase in einer aktuellen Version im produktiven Einsatz?
Wie stabil ist Interbase?
Wieviel Benutzer arbeiten damit?
Gab es schon Datenverlust?
Hat jemand Interbase mit Vershlüsselung im produktiven Einsatz?
Gibt es da irgendwelche Probleme?

Danke schon mal für Eure Hilfe.

Lutz

[mkinzler]

Was ist unsicher, der Weg zum Server oder besteht unkontrollierter Zugriff auf die Datenbank?

[Delphianer]

Der Weg zum Server ist nicht das Problem. Die Datenspeicherung auf dem Server ist das Problem. Den Hardware-Lieferanten konnte ich nicht dazu überreden, eine selbstverschlüsselnde Festplatte einzusetzen.

Lutz

[Perlsau]

Zitat von Delphianer:

Den Hardware-Lieferanten konnte ich nicht dazu überreden, eine selbstverschlüsselnde Festplatte einzusetzen.

In dem Fall würde ich mir einen anderen Hardware-Lieferanten suchen, der sich etwas kundenfreundlicher zeigt.

Was ich nicht genau verstanden habe:

• Möchtest du bzw. dein Kunde alle Einträge in der Datenbank verschlüsseln? Oder nur "brisante" Daten?
• Wo steht der Datenbank-Server? Beim Kunden?
• Welchen konkreten Gefahren möchte der Kunde mit der Verschlüsselung vorbeugen?

[Delphianer]

Das Problem ist eigentlich ganz einfach. Server und Clients stehen in einem Büro. Solange jemand anwesend ist, gibt es keine Probleme. Angriffe von außerhalb über das Netzwerk sind zwar prinzipiell auch möglich, dafür ist aber der Hardwarelieferant zuständig, der auch das Rechnernetz wartet. Außerdem halte ich es für ziemlich schwierig, sich in die Kommunikation zwischen Client und Server von außen einzuklinken, möglich ist es allerdins bestimmt. Außerhalb der Bürozeiten ist es aber relativ einfach, den Server unter den Arm zu klemmen und zu verschwinden. Da ich darauf keinen Einfluss habe und es sich aufgrund der räumlichen Gegebenheiten auch nicht viel anders regeln lässt, müssen wenigstens die Kundendaten auf dem Server sicher sein.
Momentan setzt der Kunde Access ein. Allerdings benötigt man höchstens eine Minute, um ein Access-Paßwort zu knacken (der Kunde war auch entsprechend entsetzt). Mit einer Datenbank, die die Datenablage nicht versschlüsselt würde ich nur eine Sicherheit vortäuschen, die nicht vorhanden ist.

Lutz

[mkinzler]

Man könnte man ja die Daten alternativ/zusätzlich verschlüsselt in die Datenbank schreiben.

[Perlsau]

Zitat von Delphianer:

Außerhalb der Bürozeiten ist es aber relativ einfach, den Server unter den Arm zu klemmen und zu verschwinden.

Also vor Einbrechern fürchtet sich dein Kunde. Ob da eine vollverschlüsselte Datenbank Abhilfe schafft?

Du kannst dem Kunden mit einer verschlüsselten Datenbank nicht seine Angst vor Einbrechern nehmen, die bleibt weiterhin bestehen – es sei denn, er installiert in seinen Büroräumen entsprechende Sicherheitseinrichtungen, wie sie z.B. von der Kriminalprävention empfohlen werden. Das dürfte letztlich mehr an Sicherheit bringen als eine verschlüsselte Datenbank, womit ich dir selbstverständlich nicht von letzterem abraten möchte.

Zitat von mkinzler:

Man könnte man ja die Daten alternativ/zusätzlich verschlüsselt in die Datenbank schreiben.

Was wieder andere Probleme hervorruft: Du kannst in der Datenbank nicht direkt suchen oder filtern, sondern mußt dafür alle Daten nach dem Entschlüsseln in ein MemoryDataset schreiben. Hier würde sich ein Drei-Schichten-Modell anbieten: Client -> Zwischenschicht -> Datenbank. Die Zwischenschicht ist dann ein weiterer Dienst, der auf dem DB-Server läuft und für den Clienten die entschlüsselten Daten bereitstellt. Dieser Dienst ist für Uneingeweihte eine undurchschaubare Blackbox. An die Daten der verschlüsselten Datenbank kommen sie auch nicht heran, wenn eine entsprechend starke Verschlüsselung verwendet wurde.

Letztlich verteuert das aber die Entwicklung einer Datenbankanwendung immens, so daß eine nüchterne Überlegung eventuell ergeben könnte, daß die Installation entsprechender Sicherheitseinrichtungen billiger und wirkungsvoller wäre: Videoüberwachung, Bewegungsmelder, alles webgestützt und mit einer Handynummer oder der nächsten Polizeistation gekoppelt.

[sx2008]

Zitat von Delphianer:

Außerhalb der Bürozeiten ist es aber relativ einfach, den Server unter den Arm zu klemmen und zu verschwinden.

Dann ist Verschlüsselung relativ sinnlos.
Es gibt da eine Software die bootet von CD oder USB-Memorystick und installiert einen Treiber im RAM.
Der Bootvorgang wird ganz normal von der Platte C fortgesetzt und der Treiber patcht die MSGINA.dll im RAM so dass man kein Passwort braucht und sofort zum Administrator wird.
Und da ja der Datenbankserver ganz normal gestartet wird ist eine verschlüsselte Datenbank gar kein Problem weil der Angreifer jetzt ganz bequem mit der installierten Software in die Datenbank reinschauen kann.
Dann bringt auch eine Festplattenverschlüsselung nichts.
Nur ein Passwort im BIOS könnte ihn bremsen oder vielleicht ein UEFI-Bios das ein Booten von CD oder USB nicht mehr zulässt.

Vielleicht sollte man den Server mindestens mal mit einem Kensington-Schloss am Heizungsrohr festmachen...

[himitsu]

Zitat von Delphianer:

Server und Clients stehen in einem Büro. ... Außerhalb der Bürozeiten ist es aber relativ einfach, den Server unter den Arm zu klemmen und zu verschwinden. Da ich darauf keinen Einfluss habe und es sich aufgrund der räumlichen Gegebenheiten auch nicht viel anders regeln lässt, müssen wenigstens die Kundendaten auf dem Server sicher sein.

Wobei es auch halbwegs günstige andere Lösungen gibt.

- es gibt abschließbare Gehäuse und Soeines kann man auch irgendwo festschrauben
- es gibt Tresore/Schutzschränke, in welche man den Server einschließen kann (eventuell sogar inkl. Feuer-/Wasserschutz)
- ...

[Uwe Raabe]

Zitat von Delphianer:

Wieviel Benutzer arbeiten damit?

Ich weiß nicht, ob dir das hier weiter hilft, aber meines Wissens setzt die US-Armee Interbase in einigen ihrer Panzer ein...