CodeGear Developer Camp

Size: px

Start display at page:

Download "CodeGear Developer Camp"

しじんたけはな
5 years ago
Views:

1 B4 InterBase テクニカルセッション InterBase セキュリティパワーアップセキュリティ改善のコツとツールキムラデービー代表木村明治 ( きむらめいじ ) 1 アジェンダ DBセキュリティとは? InterBase 本体が持つセキュリティ機能通信経路の暗号化格納データの暗号化 2

2 DB セキュリティとは? 3 概略全体図 InterBase で設定監査 InterBase アクセス制御ユザ認証ネットワークユーザ名とパスワードクライアント Backup ファイル DB ファイル OS その他の設定 4

3 InterBase 本体が持つセキュリティ機能 5 基本機能のおさらい Grant/Revoke User/User Role DB alias ibconfig 6

4 GRANT 文 GRANT privileges アクセス制御ユザ認証ユーザ名とパスワードネットワーク ON [TABLE] {tablename viewname} TO {object userlist [WITH GRANT OPTION] GROUP UNIX_group} クライアント基本は WITH GRANT するかどうか権限剥奪は REVOKE 文でおこなう 7 USER ROLE InterBase 5.x からアクセス制御ユザ認証 USER ROLEの機能があり! CREATE ROLE FULL_ACCESS; ユーザ名とパスワードネットワーク GRANT ALL ON TEST_SCORES TO FULL_ACCESS; GRANT FULL_ACCESS TO BJONES; クライアント 8

5 USER ROLE ただ GRANT しただけでは使えない! 接続時に指定する必要がある SQL>connect tempemployee.gdb user bjones password bjones role full_access; Database: tempemployee.gdb, User: bjones, Role: full_access アクセス制御ユザ認証ユーザ名とパスワードネットワーククライアント 9 View を使ったアクセス制限表に直接アクセスさせるのではなく Viewに必要最小限の情報だけを与える SELECT 文でのカラム WHERE 句での条件指定 WITH CHECK オプションによる範囲外への INSERT, UPDATE の抑止 10

6 View を使ったアクセス制限ユーザ / ロール View: V_Empinfo 実表 : Empinfo 11 SP を使ったアクセス制限 SP(Stored Procedure) を使うデータへのアクセスをSP 経由だけにしてアクセス制限を行う Viewに似ているがさらにフレキシブルなものにできるトリガによる監査は UPDATE/INSERT/DELETE のみになるが SELECT による監査も可能になる 12

7 SP を使ったアクセス制限ユーザ / ロール実行可能 Stored Procedure アクセス権限を持つ実表 : Empinfo 13 DB alias InterBase 7.5 以降で追加 Gsec コマンドでデータベースに別名を付けることが出来る以下のような利点あり接続文字列にデータベースフルパス指定なしでよい Unix, Windowsのパス区切りをクライアント側で意識する必要がない 14

8 ibconfig #EXTERNAL_FILE_DIRECTORY ## If your external files are not in <interbase_home>/ext, ## specify their location here. For security reasons, do not ## put other files in this directory. #EXTERNAL_FUNCTION_DIRECTORY ## If your UDF library is not in <interbase_home>/udf, then specify ## the location of the library here. For security reasons, do not ## put other files in this directory. 15 その他の Tips SYSDBA を使わないようにしよう! データベースを SYSDBA 以外のユーザーで作る一部ツールなどでは問題が起こる可能性ありパスワードを変更しよう! masterkey を使わないようにクライアントにパスワードを平文で格納しないようにしよう! 付箋でモニターにパスワード張っているのとおなじ 16

9 Memo & Demo 17 通信経路の暗号化 18

10 InterBase の通信イメージポート 3050 で平文 InterBase ネットワーククライアント 19 InterBase の通信イメージポート 3050 で平文 InterBase ネットワーククライアント InterBase ZeBeDee セキュアトンネルネットワーク暗号化圧縮クライアント ZeBeDee 20

11 通信経路の暗号化 ZeDeBee d.html 暗号化と TCP/IP の圧縮 Zlib による圧縮 Blowfish による暗号化 Diffie-Hellman による認証 21 シンプルな設定 ZeBeDeeサーバー側 Zebedee s localhost:3050 クライアント側 (kimuradb.comをサーバ名とする) Zebedee 3051:kimuradb.com:3050 接続文字列 Localhost/3051: データベースパス名 (or DB Alias) 22

12 複雑な設定 & more サーバサイドクライアントサイドで設定ファイルを作成さらに詳細な設定が可能 23 格納データの暗号化 24

13 格納データの暗号化 InterBase DB ファイル OS その他の設定 25 データファイルの暗号化 OS 自体の機能 Windows: 暗号化によるデータの保護 ng/howto/security/encryptdata.mspx TrueCrypt Windows/Linux/Mac OS X 26

14 Windows の機能 (EFS) を使う暗号化するフォルダを右クリックし [ プロパティ ] をクリックします [ 全般 ] タブの [ 詳細設定 ] をクリックします [ 内容を暗号化してデータをセキュリティで保護する ] チェックボックスをオンにします 27 Windows の機能 (EFS) を使う InterBase このディレクトリ下のファイルが暗号化 DB ファイル OS その他の設定 28

15 TrueCrypt を使う通常の OS ファイルをボリュームとして割り当てマウントするイメージ 29 TrueCrypt を使う暗号化やハッシュのアルゴリズムやサイズを選ぶことができる暗号の強度とスピードはトレードオフベンチマークで確認することができる 30

16 TrueCrypt を使うサイズを指定するボリュームのパスワードを設定する 31 TrueCrypt を使う & more InterBase このボリュームは OS からは通常ファイルに見える DB ファイル OS その他の設定 32

ファイルアップロード

ファイルアップロード 2019 年 05 月 21 日第 1.0.4 版 Arcserve サポートでは調査のため Arcserve 製品等から収集したログ / 資料の送付をお願いする場合がありますログ / 資料をサポートに送付する場合次のような方法を使用できます 1. サポートポータルでファイルをアップロードする 2. サポートから送信されたメールにファイルを添付し返信する 3. FTP を使用しファイルをアップロードする