ugrás a tartalomhoz

Adatbiztonság - kinek a dolga?

rober · 2007. Szep. 25. (K), 18.08
Sziasztok!

Kiváncsi vagyok szakértő véleményekre arról, kinek a feladata egy mysql adatbázisban tárolt adatok biztonságos őrzése. A weboldal készitőjéé vagy a tárhelyet szolgáltatóé? Illetve kinek milyen eszközök állnak a rendelkezésére a biztonságos tároláshoz?
 
1

adatbiztonság, mint mi?

winston · 2007. Szep. 25. (K), 18.29
szia. mit értesz 'biztonságos tárolás' alatt? elég sok aspektusa lehet a dolognak. például: az adatbáziskezelőt futtató rendszer legyen stabil (stabil operációs rendszer, hálózati védelem, adatvesztés elkerülése végetti redundáns tárolás, sikertelen belépési kísérletek naplózása). aztán: a "weboldal készítőjének" feladata ebből a szempontból (adatbázis-hozzáférés védelme) leginkább, hogy ne adja ki a hozzáférést. valahol a forrásban mondjuk le kell írja a usr/psw-t, ennyit kell/tud leginkább megvédeni. más kérdés az adatbázis tartalmának a védelme, ami akkor válik fontossá, ha már valaki hozzáfért az adatbázishoz (mondjuk ez régen rossz). az annyit tesz, hogy az adatbázisban levő fontos adatokat édemes (lehet, ha üzleti vagy egyéb szempontból tényleg olyan értékes) bekódolni. legjobb példa erre, hogy a jelszavakat hash-elve tárolják el (md5, sha1 elterjedt ilyen körökben, esetleg salt-elve, satöbbi), de ennek eléggé speciális tulajdonsága, hogy nem kell visszafejteni a használathoz. de pl. olyan személyes adatokat is érdemes lehet bekódolni, mint adószám, bankkártyaszám, de ezeket, ha nem csak összehasonlításképp, akkor visszafejthetően. visszafejthetőséggel viszont az a baj, hogy ha automatizálva van a rendszer, és nem egyéni kérésre fejt vissza, akkor a kulcsot valahol tárolni kell a rendszerben (forrásban), a hálózaton, ami nem biztonságos.
összesítve a fenti hosszúra sikerült elmélekdést: az adatbázist magát a rendszer üzemeltetőjének feladata védeni, az adatbázisban talált adatokat pedig az adatbázis tervezőjének (jelenleg a weboldal készízőjének)

üdv:
w.
2

mondjuk egy raktárkészleté

rober · 2007. Szep. 25. (K), 18.52
Szia! Kösz a részletesen leírt gondolataid. Ezek szerint, ha én a saját cégemnek csinálnék egy webáruházat, ahol egy mysql adatbázisban tárolnám a raktárkészletet, akkor a usr/psw-t kivéve teljesen ki vagyok szolgáltatva a szolgáltatónak? Mármint arra gondolok, hogy akár illetéktelenek bele is tudnak nyúlni a raktárkészletembe, ami ellen én semmit sem tehetek. Ha jól értelmezem szavaid.
3

saját szerver

zila · 2007. Szep. 25. (K), 19.12
Ezért illik érzékeny adatokat saját szerveren tárolni. Ekkor minden a te kezedben van...

Oracle-höz van egyébként olyan kiegészítő ami megvédi az adatokat a dba elől is. Ezzel a dba le tudja menteni a db-t, de a tartalmába nem tud belenézni, belepiszkálni meg pláne nem. Oracle Database Vault a neve.
5

szolgáltató

winston · 2007. Szep. 25. (K), 19.46
igen, ilyen értelemben teljesen ki vagy téve a szolgáltatónak: a szolgáltató az általa tárolt összes forráshoz és adathoz hozzáfér. így, ha pl. ott az adatbázis-jelszó nálad, akkor (még ha külön adatbázist is kapsz) simán be tud lépni, és tevékenykedni (passzívan, de akár aktívan is). tehát ahogy azt közben megírták, a különösen érzékeny adatokat saját szerveren illik tároni. érdemes mérlegelned, hogy mennyire értékes az adatod, és ennek függvényében mennyit szánsz védelemre. a lehetőségek tárháza széles: különböző (minőségű és árú) host szolgáltatók, szerver bérlése, szerver üzemeltetése (szerverfarmon, vagy {bérelt vonallal, ha nagy az adatforgalom} saját telephelyen). ha nagyon paranoiás vagy, és fontosak az információk, akkor természetesen minden szinten véded: fizikailag (saját telepen elhelyezve a szervert, korlátozott hozzáféréssel, esetleg őrökkel), hozzáférés szempontjából (megfelelő hálózati védelem a szervernek, megfelelő erősségű jelszó az adatbázishoz, applikáció által használt login csak a szükséges jogokkal rendelkezzen). minden azon múlik, hogy az adatod milyen értéket képvisel, és ennek következtében mennyit költesz a védelemre. minden feltörhető, megfelelő forrás ráfordításával, a kérdés itt is az, hogy támadónak megéri e ráfordítani a forrásait (idő, stb., minden leképezhető pénzbe, és ha az adatszerzésre fordított összeg << információ értéke, akkor számíthatsz próbálkozásra, akár sikeresre is. és még természetesen a social engineeringre is érdemes figyelni: a dolgozókat felkészíteni, hogy kinek és milyen körülmények között adhatnak ki milyen információkat. persze gondolom ennyire nem nagy horderejű a dolog :)
6

Saját telephely

janoszen · 2007. Szep. 25. (K), 19.56
Saját telephely tekintetében javaslom a dyndns szolgáltatást vagy úgy kialakítani a telephelyi szervert, hogy a honlap számára fontos változásokat mindig tolja is föl rögtön vagy ha nem sikerült akkor a következő adandó alkalommal. Így nincs túl nagy veszélynek kitéve.

A szerver üzemköltsége minimális, hiszen egy kimustrált PC is megteszi.
7

szerver

winston · 2007. Szep. 25. (K), 19.59
azért a kimustrált pc sok mindentől függ. nagy számítási teljesítménynél / adatvesztés elkerülésénél / nagy rendelkezésre állásnál érdemes szervert venni (nem pc-t), vagy fürtökbe helyezett pc-ket betenni. de ezekhez a dolgokhoz, vagy ilyen szintű biztonsághoz, ha tényleg erre van szükséged, mindenféleképpen érdemes már szakembert megbízni.
4

Csatlakozom

janoszen · 2007. Szep. 25. (K), 19.22
Csatlakozom az előttem szólókhoz. Ilyesmit nem illik idegen szerveren csinálni vagy minimum illik szerződésbe foglalni hogy a szerver üzemeltetője mit követ el az adatok biztonsága érdekében. A tömeges olcsóhosting 10k/év környékén pl. közel sem nevezhető biztonságosnak saját tapasztalatom szerint.

Ezen felül persze a program készítőjének is illik mindent elkövetni az adatok biztonsága érdekében. Javasolhatom a kedvenc vesszőparipám, a tárolt eljárások használatát és mindjárt DB-ben nézd meg, hogy van-e joga a t. PHP-nak lekérni azt az adatot.
8

összefoglalva

rober · 2007. Szep. 26. (Sze), 11.38
Az hogy a szolgáltató ne nyúlhasson bele az adatbázisba valóban egy szerződéssel valamilyen szinten biztosítható, egyetértek proclub-val. De mi a helyzet a külső betörési kísérletekkel? Mondhatom-e azt a szolgáltatómnak, hogy engem nem érdekel hogyan, de védje meg az adataimat és vállalja is érte a felelősséget! Azért gondolkodom ennyit ezen, mert annál a cégnél akinél tárhelyem van a következő történt. Nemrégiben felmentem a saját weboldalukra és letöltődött onnan egy trójai vírus. Felhívtam őket, azt mondát tudják, de sajnos napok óta folyamatosan feltörik őket. Mondanom sem kell azonnal befejeztem velük a jópartner kapcsolatot és másik szolgáltatót keresek. De ezek után elég bizalmatlan az ember, ha egy szolgáltató még a saját adatait sem tudja biztonságosan őrizni.
9

Drága lesz...

janoszen · 2007. Szep. 26. (Sze), 13.01
Ha ilyen szintű felelősségvállalást szeretnél, akkor elég kemény pénzeket kell kifizetni. Teljesen egyértelmű viszont hogy az olyan szolgáltatót aki hagyja magát feltörni és nem is tesz ellene semmit, ott kell hagyni a francba. Ergo, keress valaki jobbat. :)

Hasonló és más okokból indulok most saját szerverrel.