| Форумы
ЧАТ |
Орешник |
|
| Форумы -» | Основная («Начинающим»)/ Базы / WinAPI / Компоненты / Сети / Media / Игры / Corba и COM / KOL / FreePascal / .Net / Прочее / RSDN.ORG |
|
| ||
|
|
Новости |
Поиск |
FAQ |
Статьи |
Книги |
Новости VCL
| | Форумы ЧАТ |
Орешник |
|
| |||
| |||
| |||
« предыдущая ветвь | форум | следующая ветвь »
Политика безопасности в Firebird [firebird 1.5]
Mr. D. © (2007-03-06 01:18:00)Получается, что любой пользователь сервера FB по-умолчанию может создать собственные БД. Вот мне интересно - не является ли это уязвимостью, недоработкой? Ведь нелогично, обычно FB запущен как сервис с достаточно большими привелегиями, он может создавать файлы где угодно...
Мне казалось логичным бы, если БД мог создавать только SYSDBA, а остальные пользователи только по специальному разрешению...
Я что-то не понимаю, это все фигня или недоработка FB?
Плюс к тому любой пользователь может в любых БД создавать таблицы свои... Вот только уже сил не хватило проверить для триггеров. Если еще и триггеры может создавать любой пользователь, блокируя тем самым вставку данных, например (а то и меняя данные)...
P.S. Ну и такой побочный вопрос (решил не создавать новую тему). Почему при создании БД у создателя автоматически выдается доступ к таблице: RDB$ROLES - какой это несет смысл?
Виталий Панасенко (2007-03-07 10:47:00) [21]
> 3) Лезь в конфиг - надо задать DatabaseAccess = restrict
> "диск:\путь" - тогда сервер будет иметь доступ лишь к одному
> каталогу, куда, собсно, и надо сваливать базы.
Их может быть несколько, указанных чер ;. Также (насколько я понял) можно использовать различный регистр в указании Restrict - это тоже будет иметь значение..типа ReStRiCt=c:\DiReCtOrY
G_M_S (2007-03-07 10:32:00) [22]
> Пока запретить создание таблиц можно полухакерскими методами,
> в частности раздачей прав на системные таблицы.
раздача прав на системные таблицы - это не хакерский метод. Это инструмент для администрирования.
G_M_S (2007-03-07 10:30:00) [23]
> Ведь нелогично, обычно FB запущен как сервис с достаточно
> большими привелегиями, он может создавать файлы где угодно.
> ..
1) Юзай альясы. НИ ОДНОГО ПУТИ на клиентской части!
2) Не ставь FireBird в папку по умолчанию - в его каталоге хранится security.fdb, я пару серваков ломанул как раз благодаря инфе о месторасположении сервера и, как следствие, базы паролей.
3) Лезь в конфиг - надо задать DatabaseAccess = restrict "диск:\путь" - тогда сервер будет иметь доступ лишь к одному каталогу, куда, собсно, и надо сваливать базы.
Вообще сервер достаточно надежный, надо просто с ним правильно обращаться.
Mr. D. (2007-03-07 00:10:00) [24]Desdechado © (06.03.07 10:44) [4]
Вот только пользователь, желающий создать БД, должен как минимум знать пути, где чего можно создать
да думаю только ОС... Система обычно стоит в папке по-умолчанию...
В любом случае, даже самому бесправному пользователю по-умолчанию разрешается нафлудить, насоздовав кучу немерянную БД по всей ФС, да и таблиц напихать в любую БД.
Desdechado (2007-03-06 10:44:00) [25]> обычно FB запущен как сервис с достаточно большими привелегиями,
> он может создавать файлы где угодно...
Вот только пользователь, желающий создать БД, должен как минимум знать пути, где чего можно создать. Если прав на папки нет или он не знает этих папок (а при подключении к существующим БД можно использовать алиасы, маскирующие папки от пользователя), то ничего у него не выйдет.
atruhin (2007-03-06 08:14:00) [26]> Почему при создании БД у создателя автоматически выдается
> доступ к таблице: RDB$ROLES
Потому что создатель (владелец) БД, имеет право создавать роли и раздавать права.
atruhin (2007-03-06 08:13:00) [27]Один из главных недостатков FB, низкая безопасность!
Причем в перую очередь, не получение доступа к данным, а возможность вывести из
строя БД, возможна и атака на отказ в обслуживании сервера.
Серьезно повысить безопасность обещают в 3 версии.
Пока запретить создание таблиц можно полухакерскими методами, в частности
раздачей прав на системные таблицы. Запретить создание БД можно, запретом на создание
файлов в каталоге и установкой параметра DatabaseAccess = Restrict.
PS/ Сам сильно не эксперементировал, но согласно докуметации, вроде так.
Sergey13 (2007-03-06 08:09:00) [28]ИМХО, не стоит ждать (а тем более требовать) одинакового уровня комфорта и безопасности при поездке в атобусе по льготному талону и при поездке в личном лимузине.
| |
Страницы: 