Безопасность в операционной среде

В Firebird не существует средств для шифрования и дешифрования данных (кроме паролей пользователей), которые передаются через клиентский интерфейс на сервер. На уровне программного обеспечения нет защиты от налётчиков, которые установили доступ к вашей базе данных без авторизации.

Если безопасность имеет серьёзное значение для установки вашей системы, то и отнеситесь к ней серьёзно. Существуют некоторые проблемы, для решения которых необходимо предпринять меры предосторожности в окружении сервера и клиента.

Следует содержать серверы и критичные клиентские машины в помещениях с хорошо закрываемыми дверями. Основным фактором физической безопасности является защита чувствительных к безопасности машин от физических контактов неавторизованных лиц. Все предпринятые меры безопасности не дадут результатов, если посторонние смогут получать доступ к машине.

Если возможно, необходимо заблокировать такие ресурсы, как CD-ROM, накопители на гибких магнитных дисках и драйверы USB, отключить порты, через которые можно получить доступ к устройствам первоначальной загрузки, или установить такие режимы в BIOS, которые предотвратят загрузку со съёмных устройств. Следует установить в BIOS защиту по паролю, чтобы предотвратить неавторизованные изменения режимов первоначальной загрузки. Необходимо также установить защиту по паролю на все серверы и рабочие станции.

Пользователям удалённых баз данных (клиентским приложениям) не следует давать полномочия на непосредственный доступ к файлам базы данных, а также к внешним приложениям (UDF), которые связаны с таблицами базы данных. Поэтому сервер можно сконфигурировать (файл Firebird.conf) так, чтобы уменьшить риск постороннего воздействия.

Регулярно следует выполнять резервное копирование на переносимые носители и сохранять их в защищённом месте. Рекомендуется не оставлять резервные копии и архивы базы данных в сетевом окружении, где гуляющие по сети могут их найти. Полученная копия файла архива может быть восстановлена с полной прозрачностью всех файлов на любом другом сервере Firebird. То же самое может произойти и с копией базы данных. Как пользователь SYSDBA любой человек может открыть эти копии и просмотреть, что угодно.

Если не существует веских причин поступить по-другому, то следует запускать сервер Firebird как сервис (а не как программу). Рекомендуется использовать специальную учётную запись пользователя для запуска сервиса Firebird. Для ОС Linux это реализовано по умолчанию, а под ОС Windows это необходимо сделать самим пользователям.

В сетях Windows необходимо отменить возможность для пользователей и групп изменять их собственные установки регистрации. При этом рекомендуется использовать строгие пароли.

Инсталляции серверов Windows являются столь сложными в плане безопасности, что требования высокой защищённости могут просто полностью исключить ОС Windows в качестве платформы для установки серверов базы данных. Поэтому на практике предпочтение отдаётся ОС Linux.

Программное обеспечение операционной системы Windows не даёт надёжных гарантий безопасности серверов базы данных в локальной сети или за её пределами. Поэтому доступ пользователей должен быть чётко сконфигурирован с помощью LAN и других продуктов сетевой защиты сторонних разработчиков для блокирования атак. Выполнение сервиса FIREBIRD в Windows несёт в себе явный риск выполнения произвольного кода, созданного со злым умыслом.

Необходимо исключить использование на хост-машине других серверов, особенно таких уязвимых, как Web-серверы и FTP-серверы, которые потенциально принимают безымянные подключения. При использовании Windows следует ограничит сетевой доступ к реестру на серверах баз данных.

Защита сервера

При инсталляции сервера Firebird устанавливается база данных идентификации пользователя, которая хранит описание всех пользователей, имеющих доступ к серверу Firebird.

Для каждого пользователя должен быть определён чувствительный к регистру пароль, который должен использоваться для доступа к серверу. Эта база данных находится в файле security.fdb. Он должен размещаться в корневом каталоге Firebird.

Рекомендуется избегать соединений из пользовательского приложения или из инструмента администратора непосредственно с базой данных для запуска скрипта для пакетного ввода пользователей. При стандартном вводе учётных данных пользователя (инструмент gsec) пароли перед их сохранением шифруются. При непосредственном вводе паролей в базу данных security.fdb они сохраняются в виде незашифрованного текста.

Обслуживать базу данных безопасности может только пользователь SYSDBA. Не поддерживаются изменения пользователями своих собственных паролей.

Требуемыми данными являются имя пользователя и пароль.

Имя пользователя чувствительно к регистру и должно быть уникальным. Оно может содержать только символы, допустимые для идентификаторов объектов: A – Z (a – z), цифры и символы!, #, $, &, @. Длина имени пользователя не должна быть больше 31 символа.

Пароль может содержать до 32 символов, однако, только первые восемь являются значимыми. Поэтому, например, пароли masterkey и masterkeeper для сервера идентичны. Пароли чувствительны к регистру. Допустимые символы являются такими же, как и для имени пользователя.

Для шифрования паролей используется метод, основанный на алгоритме DES (Data Encryption Standard). Однако при этом используется шифрование с потерей данных, которое не позволяет восстановить исходный пароль путём шифрования.

При назначении паролей рекомендуется смешивать регистры, включать в текст пароля цифры. Для обеспечения безопасности следует регулярно изменять пароли.

Для поддержки пользователей не существует специального SQL-оператора. Имена пользователей могут использоваться в SQL в качестве аргументов операторов GRANT…TO и REVOKE…FROM.

Имя пользователя доступно в SQL через переменную CURRENT_USER и серверный литерал USER.

При установке Firebird для Windows в базу данных безопасности добавляется пользователь SYSDBA с паролем masterkey. С целью обеспечения безопасности пароль должен быть изменён в первую очередь.

Пользователь SYSDBA является владельцем базы данных безопасности.

В качестве интерфейса командной строки для работы с базой данных безопасности существует утилита gsec.