Firebird embedded - Sicherheit

[HiTi]

DANKE


hoffe muss mich in zukunft nicht verstecken



liebe Grüße
HiTi

[Phoenix]

Zitat von HiTi:

@Lemmy

sorry, aber deine antwort versteh ich jetzt nicht wirklich
hab doch embedded keinen Datenbankserver...

Hi Sven
Doch hast Du . Und zwar 'in-Process'. Das heisst der Datenbankserver der die Firebird-Datendatei nutzt läuft embedded in Deiner Applikation.

[Stevie]

Zitat von Phoenix:

Doch hast Du . Und zwar 'in-Process'. Das heisst der Datenbankserver der die Firebird-Datendatei nutzt läuft embedded in Deiner Applikation.

Wenn du dir Lemmys Beitrag durchliest, auf den HiTi oben antwortete, siehst du, dass er einen physischen Server meinte!

[Phoenix]

Zitat von Stevie:

Wenn du dir Lemmys Beitrag durchliest, auf den HiTi oben antwortete, siehst du, dass er einen physischen Server meinte!

Den hat er aber wirklich nicht. Der DB-Server ist in dem Fall doch der lokale Rechner.

[Lemmy]

Hi,

Zitat von HiTi:

@Lemmy

sorry, aber deine antwort versteh ich jetzt nicht wirklich
hab doch embedded keinen Datenbankserver...

Wenn aber der User sein Passwort vergessen würde (was er ja in dem Fall gar nich einzugeben braucht),
ja dann - Pech
Wer Sicherheit will muss eben n bisschen was auf sich nehmen (Pin, Tan, Phassphrase, Chipkarten, Verschlüsselung etc. - Airbag )
was passiert denn wenn du deine PIN von deiner EC Karte vergisst - brauchst auch ne neue und die alte is futsch!
Damit könnt ich also leben - Kunde = selbstverantworlich

Danke auch an dich - DANKE

Ich versuchs mal anders rum

Wenn Du die PIN deiner EC-Karte vergisst, gehts Du zur Bank und lässt Dir ne neue bzw. die alte wieder geben. Wenn Du aber das Zugriffspasswort für die Datenbank vergisst, ist nicht nur die Struktur weg, sonder alle Daten! Nimm das nicht auf die leichte Schulter! Hast Du schon mal 100 oder 200 Adressen in ne Datenbank eingegeben - einfach mal so aus Spaß? Wie lange hast Du dafür gebraucht? Jetzt stell Dir mal vor, ein Unternehmen kauft bei Dir ne Datenbankapplikation ein und kann, wie in meinem oben skizzierten Fall, nicht mehr auf die Datenbank zugreifen (ja, ich weiß noch, dass Du "nur" den embedded hast, aber das spielt hier keine Rolle!). Alle Daten sind jetzt weg. Aufträge, Adressen, Zeiterfassung und Rechnungen der letzten 10 Jahre - und das einzigste was Du dem aufgelösten Kunden sagen kannst ist: installieren Sie halt neu??? Das Backup kannst Du ja auch nicht einspielen ohne das Passwort! Wäre ja sonst ne Sicherheitslücke (wie in Firebird!!!).

Es macht Sinn, dass gewisse Benutzer (darunter eben der SysDBA bei Firebird) auf alles Zugriff haben und es somit auch keinen Schutz für Daten oder Struktur (wie Trigger oder StoredProcedures) gibt! Bei der FB embedded ist das Problem noch etwas größer, da diese allen Benutzern auch ohne Passwort den Zugriff auf die Daten gestattet. Allerdings macht das auch wieder Sinn, denn dort hat der User sowieso direkten Zugriff auf die Datenbankdatei und könnte durch ein Backup-Restore oder im schlimmsten Falle durch einfaches kopieren, die Datenbank auf einen Rechner kopieren, bei dem er kompletten Zugriff auf Firebird hat.

Nochmal: Es ist wichtiger, dass der Zugang zu den Daten in der Datenbank zu jeder Zeit möglich ist, als eine Absicherung der Daten! Diese kann z.B. durch Verschlüsselung durch den Client erfolgen.

[HiTi]

hehe, Hi Lemmy

Gut OK - ich geb dir recht
[[aber im normalfall bekommst ne neue EC Karte - weil keiner die PIN ändern kann (ausser vielleicht die Spardabank und selbst das geht nur mit alter PIN... ]]

Will dem Kunden nicht zumuten alles neu einzugeben, aber ursprünglich hatte ich es auch so vor:

Die Datenbank bekommt einen Benutzernamen und ein beliebiges Passwort, diese sidn aber dem Kunden selbst nicht bekannt sondern nur den Entwicklern des Programms und so kann der Kunde nur über das Programm auf die Datenbank zugreifen. D.h. der Kunde kann sein Passwort nicht vergessen - weil er es gar nicht weiss.
Das Programm an sich ist natürlich schon mit einem PW gesichert welches als Hash in der durch Entwicklungs-PW gesicherten DB liegt. Wenn er also sein Passwort vergisst kann ich als entwickler rein theoretisch - sollte ich tatsächlich so nett sein udn das bin ich hin und wieder - sein passwort löschen, zurücksetzten etc...

So hatte ich das mit den Jet Datenbanken auch immer schon erledigt (das die PW von Jet nicht sicher sind ignorieren wir bitte an der Stelle). Rechtlich gesehen spielt es jedenfalls keine Rolle ob es schwer war das PW zu knacken oder nicht. Das Hacken von Passwörtern ist illegal und das reicht ja eigentlich schon
Jedenfalls hat mir das bisher gereicht. Jetzt hab ich ja keins mehr!?

Andere Frage:

Wenn ich also nicht den embedded nehme, also auch auf jeder Einzelplatzinstallation den Server mitinstallier (ursprünglich wollt ich dafür den embedded nehmen) bekomm ich meine Datenbank dann so gesichert wie ich das gerne möchte? Also das nicht jeder der die Datenbank kopiert auf die Daten zugreifen kann? oder kann wieder jeder mit dem embedded auf die DB zugreiffen und daten auslesen bzw. mit dem server?


Danke für eure Hilfe

mfg

HiTi <- Firebird DAU *zugeb*

[Lemmy]

Hi,

auch die Verwendung des Servers bringt Dir nichts. Ein etwas intelligenter User kann, wenn er Zugriff auf den Datenbankserver hat (und das hat zumindest der Administrator) ein Backup der Datenbank anfertigen bzw. die Datenbankdatei einfach kopieren. Diese kopiert er dann auf ein System auf dem er den FB-Server oder die embedded installiert hat und öffnet diese mit einem bel. Admin-Programm und dem Standard-Sysdba-User.

Wenn Du also wirklich vermeiden willst, dass irgend jemand Zugriff auf die Daten hat, dann musst Du was anderes nehmen.

Hinweis: Selbstverständlich ist Firebird kein Sicherheitsrisiko! Bei Verwendung des Servers kann kein Unbefugter auf die Daten zugreifen wenn:

1. es keinen direkten Zugriff auf den Server gibt, d.h. nur der Admin und andere befugte Personen können sich am Server-PC anmelden
2. das Passwort des SysDBA nach der Installation geändert wurde
3. eine Firewall den Zugriff übers Netz (Internet) beschränkt (Fehler gibt es immer wieder, auch bei Firebird!)

Grüße
Lemmy

[HiTi]

ok - Danke Lemmy!

hast denn ne idee was ich für ne Datenbank nehmen könnte?

mfg
HiTi

[mikhal]

Schau dir vielleicht mal die PostgreSQL an. Vielleicht entspricht die eher deinen Vorstellungen. Allerdings ist mir nicht bekannt, daß es davon eine Embedded-Version gibt.

Grüße
Mikhal

[Stevie]

Ich kann mir nicht vorstellen, dass es irgendeine embedded-Lösung gibt, die sicher wäre.
Wirklich sicher ist nur eine Client/Server-Lösung!