Firebird embedded - Sicherheit

[HiTi]

Hi hi ,

bin grade auch auf dem Firebird trichter gekommen und hab mal n kleines Beispielprogramm geschrieben.
Greife wie in dem Tutorial von http://seegernet.de.vu/ auf die Datenbank zu. un funktioniert auch alles wunderprächtig.
Benutze den IBOLE-Provider für die Verbindung.

Jetzt bin ich aber n SQl-Datenbank DAU - habe bisher immer nur mit Access "Datenbanken" gearbeitet.
Für mich war das bisher ne Datenbank - ihr seit ja größtenteils anderer Meinung <- aber das is n anderes Thema
Jedenfalls hab ich nun folgendes Problem:

Ich kann auf die Datenbank mit keinem oder mit dem Benutzer SYSDBA um dem Standardpasswort zugreifen.
Ich will nun aber einen eigenen Benutzer in die Datenbank mitaufnehmen und mich nur mit diesem anmelden können um die Datenbank zu sichern. Sonst kann sich ja jeder die *.fdb-Datei rauskopieren und diese in einem Projekt oder seinem Firebird-Server einbinden und ungehindert auf die Daten zugreifen. Leider weiss ich nicht wie ich einen solchen Benutzer für eine einzelne Datenbankdatei einrichten kann um die Zugriffe zu kontrollieren. Gebt mir doch bitte n kleinen anstoß - oder nen größeren weil sonst muss ich nochma fragen

Ahso der Benutzer "SYSDBA" soll dann gelöscht werden...

schonmal danke für eure Hilfe

HiTi

[Robert_G]

Schaue mal hier . mag krass klingen, aber zum Beispiel aufgrund dieser komischen Extra DB für User kannst du es mit dem Embedded knicken.
Theoretisch solltest du sogar mit jedem Usernamen /passwort per embedded auf eine FB Datenbank kommen können.

[HiTi]

habs mir jetzt noch nicht angeschuat,
aber ich hab schon probiert mit einem anderen User drauf zu kommen und es hat nicht funktioniert und das obwohl ich es auf einem anderen Rechner (mit firebird Server) ebenfalls probiert habe. Dort habe ich mich in die IBOCONSOLE mit dem entsprechenden anderen Benutzername eingeloggt , eine verbindung mit der datenbank aufgebaut und eine tabelle erstellt ...

*mir jetzt aber mal dienen link anschau*


danke für deine antwort

HiTi


EDIT ################################################## #

hab mir jetzt dienen Link angeschaut, hilft abe rnicht wirklich weiter

[Lemmy]

Hi,

es gibt keine Sicherheit mit der Userverwaltung von Firebird! Die hilft maximal gegen Leute, die wissen wo man den PC ein- und wieder ausschaltet. Sobald jemand Dateien kopieren kann, ist es ohne Probleme möglich die Sicherheitsfunktionen von Firebird zu umgehen.

Die Userverwaltung dient dem Zweck, dass ein Anwender der KEINEN Zugriff auf den Datenbankserver hat nicht so ohne weiteres auf die Datenbank zugreifen kann (Angriff über ein Netzwerk bzw. Internet).

Die Firebird embedded prüft da aber im Grunde genommen gar nichts ab, da jeder ja direkten Zugriff auf die Datenbankdatei hat, da sie ja lokal auf dem Rechner liegt!

Lemmy

[HiTi]

Hi hi,


das heißt im klartext, das ich die Firebird Datenbank nichtmal (auch wenns wenig schutz bietet)
wie eine Access-Datenbank (ja streitet euch drum) mit einem Passwort vor unbefugtem Zugriff schützen kann.
Ich muss also kritische Daten in der Datenbank verschlüsselt abspeichern und hab keine möglichkeit diese abgespeicherten Daten vor Zugriffen zu schützen.

boahr, das ist übel...
Übler gehts ja gar nisch...

somit fällt die Firebird Datenbank wohl aus...
Aber was hab ich für ne alternative?

brauch ne Datenbank die auch embedded laufen kann udn genügend Schutz bietet.

mfg und vielen Dank auch wenns sehr deprimierend ist

HiTi

PS. aber wie sichert ihr dann eure Daten?
Warenswirtschaftssystem, US-Militär, etc. Das sind doch alles empfindliche Daten.... *ich heul gleich*

[Robert_G]

Zitat von HiTi:

das heißt im klartext, das ich die Firebird Datenbank nichtmal (auch wenns wenig schutz bietet)
wie eine Access-Datenbank (ja streitet euch drum) mit einem Passwort vor unbefugtem Zugriff schützen kann.
Ich muss also kritische Daten in der Datenbank verschlüsselt abspeichern und hab keine möglichkeit diese abgespeicherten Daten vor Zugriffen zu schützen.
...
boahr, das ist übel...
Übler gehts ja gar nisch...
...
PS. aber wie sichert ihr dann eure Daten?
Warenswirtschaftssystem, US-Militär, etc. Das sind doch alles empfindliche Daten.... *ich heul gleich*

Hast du dir überhaupt durchgelesen, was du für Käse geschrieben hast?
Vertrauliche Daten werden IMMER verschlüsselt abgelegt. Ob es nun eine Oracle DB ist oder FB embedded.
Der Passwortschutz von Jet ist solch ein dämlicher Mist, da habe ich doch lieber eine fehlende User verwaltung. (Die kann man bei Interbase/Firebird sowieso nicht für irgendwas sinnvolles gebrauchen )
Es ist ja nicht weiter schwierig das selbst zu implementieren.

[Stevie]

Zitat von HiTi:

PS. aber wie sichert ihr dann eure Daten?
Warenswirtschaftssystem, US-Militär, etc. Das sind doch alles empfindliche Daten.... *ich heul gleich*

Seit wann benutzt das US-Militär Firebird embedded???

Wenn es um eine solche Sicherheit geht, kannst du jegliches embedded sowieso vergessen, denn dann liegen die Daten auf einem Server, den den Zugriff regelt und aus die Maus!

[Lemmy]

Hi,

zudem solltest Du dir mal überlegen was passiert, wenn Du das Passwort vergisst. Oder noch besser, wenn der Benutzer mit dem Zugriffsrecht nicht über den Namen definiert wird sondern mit einer Nummer (wie z.B. beim Windows-Server).
Fällt z.B. der Windows-Server aus und muss komplett neu installiert werden, müssen erst mal alle Client-Rechner sich neu anmelden und zudem verlierst Du (bei Clientgespeicherten Profilen) alle bisherigen Einstellung. Wenn so etwas bei einem Datenbankserver passieren würde könntest Du die Datenbank incl. Daten wegschmeissen! Versuch das mal einem Kunden zu erklären!

Lemmy

[HiTi]

@Robert_G

Ohne dir nahetreten zu wollen

1. hab ich geschrieben das ich n DAU bin <- sogar wortwörtlich
2. finde ich nicht das deine Beiträge auch nur im entferntesten weiterhelfen.
kritisieren tust du ja gerne, aber helfen?

Natürlich werden vertrauliche Daten verschlüsselt gespeichert, allerdings hatte ich erwartet das
ein Datenbanksystem wie Firebird oder Interbase zusätzlichen Schutz (der auch besser Funktioniert wie bei der Jet)
duch Benutzer und Passwort abfragen bietet.
seh ich das so falsch?

Zitat:

Der Passwortschutz von Jet ist solch ein dämlicher Mist, da habe ich doch lieber eine fehlende User verwaltung. (Die kann man bei Interbase/Firebird sowieso nicht für irgendwas sinnvolles gebrauchen )
Es ist ja nicht weiter schwierig das selbst zu implementieren.

*doof frag* wie denn?

danke für deine kontruktive Antwort

------------------------------------------------------------------------------------
@Stevie

ja, die werden wahrscheinlich nicht den embedded nützen
steh grad einfach auf dem Schlauch und könne wände einreisen...
will nicht das jeder der n bisschen Ahnung hat in die Datenbank schauen kann,
ob verschlüsselte Daten oder nicht... Hab vielleicht auch zu einfach gedacht, bin ja bisher Jet-Nutzer...

Danke auch dir

-------------------------------------------------------------------------------------

@Lemmy

sorry, aber deine antwort versteh ich jetzt nicht wirklich
hab doch embedded keinen Datenbankserver...

Wenn aber der User sein Passwort vergessen würde (was er ja in dem Fall gar nich einzugeben braucht),
ja dann - Pech
Wer Sicherheit will muss eben n bisschen was auf sich nehmen (Pin, Tan, Phassphrase, Chipkarten, Verschlüsselung etc. - Airbag )
was passiert denn wenn du deine PIN von deiner EC Karte vergisst - brauchst auch ne neue und die alte is futsch!
Damit könnt ich also leben - Kunde = selbstverantworlich

Danke auch an dich - DANKE

[Stevie]

Ist zwar jetzt total Off-Topic, aber trotzdem:
Vor lauter kritisieren usw sind wir noch gar nicht dazu gekommen!
Herzlich Willkommen in der DP, HiTi!!!