Åpning av port til SQL-server - sikkerhetsrisiko?

[Lurifaksen]

"Jeg" ønsker å kunne jobbe hjemmefra mot databasen på kontoret. Da må jo portene SQL-serveren bruker åpnes. Innebærer dette noen gedigen sikkerhetsrisiko?

 

En person som skulle hjelpe til med dette, hevder at å åpne disse portene utgjør en voldsom sikkerhetsrisiko, og påstår nesten at bedriften står med åpne dører. Han mente også at VPN burde benyttes i stedet.

 

At VPN er en bedre løsning kan godt være, men er det så problematisk å ha en port åpen i brannmuren (det er jo mye enklere enn å sette opp skikkelig VPN opplegg)?

 

Det må nevnes at det er en liten bedrift som egentlig ingen skulle ha interesse av å "hacke", og internettlinjen har ikke en gang fast IP.

Endret 13. mai 2005 av Lurifaksen

[Tanguero]

Å gi direkte tilgang til databaser fra internett er i utgangspunktet en "Dårlig idè" av den enkle grunn at databaser ikke er bygget for å være spesielt robuste med tanke på sikkerhet/mishandling.

 

 

 

Edit: Et automatisert script synest nok at deres lille bedrift er akkurat like spennende som NASA eller verdensbanken.......

Endret 13. mai 2005 av Tanguero

[Ueland]

Så lenge man sørger for å ha oppdatert versjon av server programmet, og man sørger for at sql-brukerene kun har tilgang ifra bestemte ip-adresser for eksempel, så bør man være ganske så sikker på ikke noe tull vil oppstå.

[Lurifaksen]

Det er det jeg også mener. Det er i teorien ingen sikkerhetsrisiko om programmet hadde vært perfekt (ingen sikkerhetshull), og brukerne har gode passord?

 

Hele faren er egentlig om det er sikkerhetshull i programmet, og om passordet til brukerene er gode nok?

[enden]

Å åpne for innkommende tilkoblinger til databasen krever jo å åpne en port på lik linje med en VPN-tilkobling. VPN-tilkoblingen tilbyr mye bedre sikkerhet på alle områder, og anbefales på det varmeste!

[slettet]

Om ein bruker ei VPN-løysing blir trafikken kryptert, noko som vel ikkje skjer om ein berre opner ein port, og ber applikasjonen ein set med heime koble seg opp mot den ipen/porten.

 

Det gjer det det enklare for potensielle hackere/crackere å fange opp trafikk, lese den av, og bruke forskjellige metoder for å holde ope og eventuelt opne portar på servaren din, og då eventuelt køyre angrep mot databasen. Du faktisk også risikere at serveren databasen ligg på kan bli ein zombie.. Og det er heller ikkje noko hyggeleg.

 

Mitt tips er eit tre-beins nettverk.

Då set du opp ein kombinert firewall, proxy og vpn-server som frontendserver (eit bein mot internett), database-serveren i perimeter network (eller DMZ om du vil, som er eit bein), og la folk koble seg opp mot den med VPN. I det tredje beinet set du arbeidsstasjonane og eventuelle andre servarar, og lar folk jobbe mot database-servaren via frontendservaren.

 

Då gjer du databasen tilgjengeleg for dei som skal ha tilgang til den, og sjølv om du då opner porter mot nettet (altså for VPN-trafikk), så er arbeidsstasjonana i trusted network beskytta mot internett. Det er ein ganske så sikker måte å gjere det på, i tillegg til at den er enkel, og ikkje krev all verden av investeringar.

 

Har sjølv leikt meg med eit sånt oppsett, då med Microsoft ISA 2004 Server, noko eg meiner (og har erfart) er eit svært godt produkt, som i tillegg er svært enkelt å administrera såframt du har basic kjennskap til Windows Server Systems og forskjellige nettverkselement (DNS, VPN, ol.).

[oblivian]

OpenVPN 2.0 funker kjempe bra og tar 5 min. å sette opp.

http://openvpn.net/

 

Ellers kunne du jo også kanskje heller satt opp en virtuell https/SSL sub-domene og kjørt PhpMyAdmin og .htaccess.

[Ueland]

Det er det jeg også mener. Det er i teorien ingen sikkerhetsrisiko om programmet hadde vært perfekt (ingen sikkerhetshull), og brukerne har gode passord?

 

Hele faren er egentlig om det er sikkerhetshull i programmet, og om passordet til brukerene er gode nok?

Må jo og huske at brukere kan få tilgang ned på IP nivå, dvs at hvis noen får tak i root passordet til en MySQL server i dag, så kommer de ikke langt med det, siden det vanligvis kun kan brukes lokalt på maskinen.

[daffyd]

sett opp en ssh-server så bruker du ssh-tunnellering og aksesserer databasen som om den var "lokal" på din boks når du sitter hjemme. Antar dere har en ssh-server stående allerede, dermed trengs ikke mer konfigurasjon enn å sørge for at serveren hvor sshd kjører har tilgang til databaseserveren. Dette er den letteste (og i mine øyne sikreste) løsningen. (Like sikker som VPN om dere setter opp ting riktig, men lettere å bruke og sette opp. IMHO)

[Demolish]

sett opp en ssh-server så bruker du ssh-tunnellering og aksesserer databasen som om den var "lokal" på din boks når du sitter hjemme. Antar dere har en ssh-server stående allerede, dermed trengs ikke mer konfigurasjon enn å sørge for at serveren hvor sshd kjører har tilgang til databaseserveren. Dette er den letteste (og i mine øyne sikreste) løsningen. (Like sikker som VPN om dere setter opp ting riktig, men lettere å bruke og sette opp. IMHO)

Enig. For enkeltaplikasjoner er dette det letteste, og som du sier, skal være like sikkert som vpn. Skal man derimot ha tilgang til bedriftsnettverket, vil VPN være best. (dette sier jeg bare slik at de som leser denne tråden kan få et inntrykk av hva de skal bruke i sin situasjon)