eGospodarka.pl
eGospodarka.pl poleca

eGospodarka.plGrupypl.comp.programmingAplikacje bazodanowe - bezpieczeństwo
Ilość wypowiedzi w tym wątku: 55

  • 31. Data: 2011-06-29 08:42:54
    Temat: Re: Aplikacje bazodanowe - bezpieczeństwo
    Od: Michal Kleczek <k...@g...com>

    Mariusz Kruk wrote:

    > epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kleczek"
    >>> Użytkownicy aplikacji to są "dane", a nie
    >>> element funkcjonalny bazy.
    >>A to niby dlaczego?
    >
    > Na przykład dlatego, że dużo łatwiej zapewnić bezpieczeńśtwo na wypadek
    > awarii jeśli masz do zabezpieczenia tylko dane z bazy.
    >

    Moglbys jasniej?

    --
    Michal


  • 32. Data: 2011-06-29 08:52:01
    Temat: Re: Aplikacje bazodanowe - bezpieczeństwo
    Od: Mariusz Kruk <M...@e...eu.org>

    epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kleczek"
    >>>> Użytkownicy aplikacji to są "dane", a nie
    >>>> element funkcjonalny bazy.
    >>>A to niby dlaczego?
    >> Na przykład dlatego, że dużo łatwiej zapewnić bezpieczeńśtwo na wypadek
    >> awarii jeśli masz do zabezpieczenia tylko dane z bazy.
    >Moglbys jasniej?

    Prościej zrobić zrzut jednej bazy i mieć wszystko z głowy niż
    zastanawiać się gdzie jeszcze masz zdefiniowanych użytkowników i którzy
    z użytkowników bazodanowych są od któej aplikacji.

    --
    \------------------------/
    | K...@e...eu.org | http://www.nieruchomosci.pl/mieszkanie,38804171
    | http://epsilon.eu.org/ |
    /------------------------\


  • 33. Data: 2011-06-29 09:13:58
    Temat: Re: Aplikacje bazodanowe - bezpieczeństwo
    Od: Michal Kleczek <k...@g...com>

    Mariusz Kruk wrote:

    > epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kleczek"
    >>>>> Użytkownicy aplikacji to są "dane", a nie
    >>>>> element funkcjonalny bazy.
    >>>>A to niby dlaczego?
    >>> Na przykład dlatego, że dużo łatwiej zapewnić bezpieczeńśtwo na wypadek
    >>> awarii jeśli masz do zabezpieczenia tylko dane z bazy.
    >>Moglbys jasniej?
    >
    > Prościej zrobić zrzut jednej bazy i mieć wszystko z głowy niż
    > zastanawiać się gdzie jeszcze masz zdefiniowanych użytkowników i którzy
    > z użytkowników bazodanowych są od któej aplikacji.
    >

    Przeciez strategia i narzedzia backupu to w ogole inna bajka - tak czy
    inaczej musisz robic kopie _wszystkich_ istotnych danych w bazie danych (a
    takze innych danych np. konfiguracja systemu operacyjnego itp.). Sensowny
    DBMS dostarcza narzedzi do robienia kopii zarowno danych biznesowych jak i
    systemowych (czyli katalogu).
    Nie widze roznicy, wiecej - w przypadku uzytkownikow utrzymywanych przez
    aplikacje masz potencjalnie problem bo dla kazdej aplikacji musisz
    "zastanawiać się gdzie jeszcze masz zdefiniowanych użytkowników".

    --
    Michal


  • 34. Data: 2011-06-29 09:14:57
    Temat: Re: Aplikacje bazodanowe - bezpieczeństwo
    Od: "b...@n...pl" <b...@n...pl>

    On 29.06.2011 09:49, Michal Kleczek wrote:
    >
    > Sa przynajmniej dwa problemy z tym rozumowaniem:
    > 1. To jest tylko przesuniecie rozwiazania problemu z DBMS do aplikacji.
    > Klopot polega na tym, ze weryfikacja oprogramowania pod katem bezpieczenstwa
    > jest droga i co za tym idzie aplikacja jest znacznie bardziej narazona na
    > bledy niz DBMS (najlepszym przykladem sa wszystkie ataki typu SQL injection
    > - wbudowanie zabezpieczen w DBMS chroni dane przed atakami wykorzystujacymi
    > bledy w aplikacjach).
    > 2. W przypadku aplikacji typu "gruby klient" - jak zapewnic, ze dostep do
    > danych bedzie sie odbywal _tylko_ przy pomocy tejze aplikacji?
    > 3. Jak rozwiazac problem wielu aplikacji korzystajacych z jednej bazy
    > danych. Kazda ma swoj wlasny system zabezpieczen?

    Problem w tym, że między aplikacją klienta, a DBMS musi być jeszcze
    jedna warstwa. Kiedyś korzystałem z programu takiego, w 2 minuty
    znalazłem zaszyte hasło w nim do bazy danych. Więc całe zabezpieczenia
    na poziomie programu były w jednej chwili do wyrzucenia.
    Aplikacja klienta powinna łączyć się z jakimś API i na poziomie tego API
    musi nastąpić przydział odpowiednich uprawnień.
    80% czy więcej kradzieży danych z firm jest popełniana przez pracowników.

    --
    wer <",,)~~
    http://szumofob.eu


  • 35. Data: 2011-06-29 09:22:02
    Temat: Re: Aplikacje bazodanowe - bezpieczeństwo
    Od: Mariusz Kruk <M...@e...eu.org>

    epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kleczek"
    >Przeciez strategia i narzedzia backupu to w ogole inna bajka - tak czy
    >inaczej musisz robic kopie _wszystkich_ istotnych danych w bazie danych (a
    >takze innych danych np. konfiguracja systemu operacyjnego itp.).

    No i teraz pomyśl jak wygląda sytuacja w momencie kiedy wszystkie dane
    masz w bazie, a jak, kiedy dodatkowo masz część danych na zewnątrz. Na
    dodatek jeszcze przyjmij, że możesz na tym samym silniku mieć inne bazy.

    >Nie widze roznicy, wiecej - w przypadku uzytkownikow utrzymywanych przez
    >aplikacje masz potencjalnie problem bo dla kazdej aplikacji musisz
    >"zastanawiać się gdzie jeszcze masz zdefiniowanych użytkowników".

    Niekoniecznie. Aplikacja sama ze siebie może przecież umieć się
    uwierzytelniać zewnętrznie.

    --
    \------------------------/
    | K...@e...eu.org | http://www.nieruchomosci.pl/mieszkanie,38804171
    | http://epsilon.eu.org/ |
    /------------------------\


  • 36. Data: 2011-06-29 09:28:22
    Temat: Re: Aplikacje bazodanowe - bezpieczeństwo
    Od: Michal Kleczek <k...@g...com>

    b...@n...pl wrote:

    > On 29.06.2011 09:49, Michal Kleczek wrote:
    >>
    >> Sa przynajmniej dwa problemy z tym rozumowaniem:
    >> 1. To jest tylko przesuniecie rozwiazania problemu z DBMS do aplikacji.
    >> Klopot polega na tym, ze weryfikacja oprogramowania pod katem
    >> bezpieczenstwa jest droga i co za tym idzie aplikacja jest znacznie
    >> bardziej narazona na bledy niz DBMS (najlepszym przykladem sa wszystkie
    >> ataki typu SQL injection - wbudowanie zabezpieczen w DBMS chroni dane
    >> przed atakami wykorzystujacymi bledy w aplikacjach).
    >> 2. W przypadku aplikacji typu "gruby klient" - jak zapewnic, ze dostep do
    >> danych bedzie sie odbywal _tylko_ przy pomocy tejze aplikacji?
    >> 3. Jak rozwiazac problem wielu aplikacji korzystajacych z jednej bazy
    >> danych. Kazda ma swoj wlasny system zabezpieczen?
    >
    > Problem w tym, że między aplikacją klienta, a DBMS musi być jeszcze
    > jedna warstwa. Kiedyś korzystałem z programu takiego, w 2 minuty
    > znalazłem zaszyte hasło w nim do bazy danych. Więc całe zabezpieczenia
    > na poziomie programu były w jednej chwili do wyrzucenia.
    > Aplikacja klienta powinna łączyć się z jakimś API i na poziomie tego API
    > musi nastąpić przydział odpowiednich uprawnień.

    To chyba sie nie rozumiemy - ja postuluje, zeby kazdy _uzytkownik_ (nie
    aplikacja) mial swoje konto w DBMS. Uprawnienia do danych sa przydzielane
    uzytkownikom w DBMS. Aplikacja nie ma "zaszytych" zadnych hasel do bazy
    danych.

    > 80% czy więcej kradzieży danych z firm jest popełniana przez pracowników.
    >

    Wlasnie. Stad DBMSy oferuja np. funkcje audytu.

    --
    Michal


  • 37. Data: 2011-06-29 09:33:05
    Temat: Re: Aplikacje bazodanowe - bezpieczeństwo
    Od: Michal Kleczek <k...@g...com>

    Mariusz Kruk wrote:

    > epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kleczek"
    >>Przeciez strategia i narzedzia backupu to w ogole inna bajka - tak czy
    >>inaczej musisz robic kopie _wszystkich_ istotnych danych w bazie danych (a
    >>takze innych danych np. konfiguracja systemu operacyjnego itp.).
    >
    > No i teraz pomyśl jak wygląda sytuacja w momencie kiedy wszystkie dane
    > masz w bazie, a jak, kiedy dodatkowo masz część danych na zewnątrz. Na
    > dodatek jeszcze przyjmij, że możesz na tym samym silniku mieć inne bazy.
    >

    Nadal nie rozumiem problemu. Jest naprawde obojetne z punktu widzenia
    robienia kopii zapasowej w ktorej bazie danych sa trzymane konta
    uzytkownikow.

    >>Nie widze roznicy, wiecej - w przypadku uzytkownikow utrzymywanych przez
    >>aplikacje masz potencjalnie problem bo dla kazdej aplikacji musisz
    >>"zastanawiać się gdzie jeszcze masz zdefiniowanych użytkowników".
    >
    > Niekoniecznie. Aplikacja sama ze siebie może przecież umieć się
    > uwierzytelniać zewnętrznie.
    >

    Nie widze zwiazku.

    --
    Michal


  • 38. Data: 2011-06-29 09:39:49
    Temat: Re: Aplikacje bazodanowe - bezpieczeństwo
    Od: Lukasz <k...@a...pl[usun]>

    W dniu 28.06.2011 22:55, Andrzej Jarzabek pisze:
    > On 28/06/2011 21:25, Zbigniew Malec wrote:
    >> Ja bym wręcz zaryzykował twierdzenie, że utożsamianie użytkowników
    >> aplikacji z użytkownikami DB zmniejsza bezpieczeństwo, bo zamiast mieć
    >> jednego dobrze opisanego użytkownika na poziomie bazy danych (a więc w
    >> warstwie dostępu do danych), trzeba dbać o poprawne opisanie
    >> wszystkich jej
    >> (aplikacji) użytkowników. W opisanym przeze mnie typowym przypadku
    >> uprawnienia użytkowników aplikacji są odseparowane od uprawnień samej
    >> aplikacji a co za tym idzie łatwiej jest postawić wyraźną granicę, co
    >> aplikacji wolno a czego jej nie wolno.
    >
    > Powiedz to Sony.

    Można prosić o rozwinięcie? Jakoś nie kojarzę Sony w tym zakresie -
    zapewne to jakaś ciekawostka o której nie wiem.

    Pozdrawiam


  • 39. Data: 2011-06-29 09:40:38
    Temat: Re: Aplikacje bazodanowe - bezpieczeństwo
    Od: Mariusz Kruk <M...@e...eu.org>

    epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kleczek"
    >>>Przeciez strategia i narzedzia backupu to w ogole inna bajka - tak czy
    >>>inaczej musisz robic kopie _wszystkich_ istotnych danych w bazie danych (a
    >>>takze innych danych np. konfiguracja systemu operacyjnego itp.).
    >> No i teraz pomyśl jak wygląda sytuacja w momencie kiedy wszystkie dane
    >> masz w bazie, a jak, kiedy dodatkowo masz część danych na zewnątrz. Na
    >> dodatek jeszcze przyjmij, że możesz na tym samym silniku mieć inne bazy.
    >Nadal nie rozumiem problemu. Jest naprawde obojetne z punktu widzenia
    >robienia kopii zapasowej w ktorej bazie danych sa trzymane konta
    >uzytkownikow.

    Z technicznego punktu widzenia - oczywiście. Z praktyczno-organizacyjnego?
    Jest duża różnica.

    >>>Nie widze roznicy, wiecej - w przypadku uzytkownikow utrzymywanych przez
    >>>aplikacje masz potencjalnie problem bo dla kazdej aplikacji musisz
    >>>"zastanawiać się gdzie jeszcze masz zdefiniowanych użytkowników".
    >> Niekoniecznie. Aplikacja sama ze siebie może przecież umieć się
    >> uwierzytelniać zewnętrznie.
    >Nie widze zwiazku.

    Wtedy nie musisz się zastanawiać gdzie masz zdefiniowanych użytkowników
    w sensie konieczności tworzenia kont. A ustawienia kont masz w bazie
    przypisanej do konkretnej aplikacji. I właśnie tu nie musisz się
    zastanawiać gdzie jeszcze są te uprawnienia definiowane.

    --
    \------------------------/
    | K...@e...eu.org | http://www.nieruchomosci.pl/mieszkanie,38804171
    | http://epsilon.eu.org/ |
    /------------------------\


  • 40. Data: 2011-06-29 09:50:06
    Temat: Re: Aplikacje bazodanowe - bezpieczeństwo
    Od: Michal Kleczek <k...@g...com>

    Mariusz Kruk wrote:

    > epsilon$ while read LINE; do echo \>"$LINE"; done < "Michal Kleczek"
    >>>>Przeciez strategia i narzedzia backupu to w ogole inna bajka - tak czy
    >>>>inaczej musisz robic kopie _wszystkich_ istotnych danych w bazie danych
    >>>>(a takze innych danych np. konfiguracja systemu operacyjnego itp.).
    >>> No i teraz pomyśl jak wygląda sytuacja w momencie kiedy wszystkie dane
    >>> masz w bazie, a jak, kiedy dodatkowo masz część danych na zewnątrz. Na
    >>> dodatek jeszcze przyjmij, że możesz na tym samym silniku mieć inne bazy.
    >>Nadal nie rozumiem problemu. Jest naprawde obojetne z punktu widzenia
    >>robienia kopii zapasowej w ktorej bazie danych sa trzymane konta
    >>uzytkownikow.
    >
    > Z technicznego punktu widzenia - oczywiście. Z praktyczno-organizacyjnego?
    > Jest duża różnica.

    Jaka?

    >
    >>>>Nie widze roznicy, wiecej - w przypadku uzytkownikow utrzymywanych przez
    >>>>aplikacje masz potencjalnie problem bo dla kazdej aplikacji musisz
    >>>>"zastanawiać się gdzie jeszcze masz zdefiniowanych użytkowników".
    >>> Niekoniecznie. Aplikacja sama ze siebie może przecież umieć się
    >>> uwierzytelniać zewnętrznie.
    >>Nie widze zwiazku.
    >
    > Wtedy nie musisz się zastanawiać gdzie masz zdefiniowanych użytkowników
    > w sensie konieczności tworzenia kont. A ustawienia kont masz w bazie
    > przypisanej do konkretnej aplikacji. I właśnie tu nie musisz się
    > zastanawiać gdzie jeszcze są te uprawnienia definiowane.
    >

    Ale ja nie musze sie zastanawiac gdzie sa zdefiniowane - sa zdefiniowane w
    katalogu DBMS.

    --
    Michal

strony : 1 ... 3 . [ 4 ] . 5 . 6


Szukaj w grupach

Szukaj w grupach

Eksperci egospodarka.pl

1 1 1

Wpisz nazwę miasta, dla którego chcesz znaleźć jednostkę ZUS.

Wzory dokumentów

Bezpłatne wzory dokumentów i formularzy.
Wyszukaj i pobierz za darmo: