เหตุใดการรับรองความถูกต้องของ OS จึงถือว่าความปลอดภัยต่ำสำหรับฐานข้อมูล Oracle

Oracle กำลังลดการรับรองความถูกต้องของระบบปฏิบัติการตามคำแนะนำของOracle Database Securityซึ่งระบุว่า

โปรดทราบว่าพารามิเตอร์ REMOTE_OS_AUTHENT นั้นเลิกใช้แล้วใน Oracle Database 11g รีลีส 1 (11.1) และจะถูกเก็บไว้สำหรับความเข้ากันได้แบบย้อนหลังเท่านั้น

นอกจากนี้ข้อมูลและเครื่องมือความปลอดภัยส่วนใหญ่พิจารณาว่าการ รับรองความถูกต้องของ OS (ภายนอก)เป็นปัญหาด้านความปลอดภัย ฉันพยายามที่จะเข้าใจว่าทำไมถึงเป็นเช่นนี้ นี่คือข้อดีบางอย่างที่ฉันเห็นของการตรวจสอบ OS:

1. หากไม่มีแอพพลิเคชั่นรับรองความถูกต้องของ OS จะต้องจัดเก็บรหัสผ่านไว้ในแอปพลิเคชันที่หลากหลายแต่ละแบบมีรูปแบบความปลอดภัยและช่องโหว่ของตนเอง
2. การรับรองความถูกต้องของโดเมนนั้นจะต้องมีความปลอดภัยเพราะหากไม่ใช่ความปลอดภัยของฐานข้อมูลก็จะทำให้การเข้าถึงฐานข้อมูลช้าลง แต่ไม่สามารถป้องกันได้
3. ผู้ใช้ที่ต้องจำรหัสผ่านโดเมนเพียงรหัสเดียวสามารถสร้างรหัสผ่านโดเมนที่ปลอดภัยได้ง่ายกว่าที่พวกเขาสามารถสร้างรหัสผ่านฐานข้อมูลที่มีความปลอดภัยน้อยลงได้เนื่องจากจำนวนฐานข้อมูลที่แตกต่างกันที่พวกเขาต้องเชื่อมต่อเพื่อเพิ่ม

พิจารณาสถานการณ์สมมติต่อไปนี้:

1. มีผู้ใช้ระบบปฏิบัติการยูนิกซ์ชื่อเป็นgaiusบนเซิร์ฟเวอร์ของออราเคิลมีการตรวจสอบจากภายนอกดังนั้นใน Oracle ops$gaiusมีผู้ใช้ที่สอดคล้องกันเรียกว่า เมื่อล็อกอินเข้าสู่เชลล์ฉันยังสามารถล็อกอินเข้าสู่ Oracle schema ของฉันได้โดยตรงและงาน cron ของฉันไม่จำเป็นต้องใช้รหัสผ่านในสคริปต์
2. อนุญาตให้มีการตรวจสอบสิทธิ์ระบบปฏิบัติการระยะไกลบนสมมติฐานว่า LAN มีความปลอดภัย 100% และลูกค้าสามารถเชื่อถือได้ (เหมือนกับrlogin/ rshเคยได้รับอนุญาตตามปกติ)
3. ผู้โจมตีนำแล็ปท็อปของตนเข้าสู่ LAN ด้วยวิธีการใดก็ตามรู้ว่าฉันทำงานที่นั่นและสร้างผู้ใช้ภายในเครื่องบนแล็ปท็อปที่เรียกใช้gaiusและเรียกใช้ SQL * Plus ในฐานะผู้ใช้รายนั้น
4. Oracle เห็น (เช่นOSUSERในV$SESSION) เป็นgaiusและบันทึกผู้ใช้ระยะไกลเป็นops$gaius

นั่นไม่เพียง แต่จะหลอกง่าย ๆ เท่านั้น แต่ใส่หมวก cynic ของฉันออราเคิลไม่สามารถทำเงินได้อีกต่อไปสำหรับการขายผลิตภัณฑ์การลงชื่อเพียงครั้งเดียวที่เป็นแฟนซีของคุณ... ซึ่งวิธีใดบ้างที่จะเติมเต็มทุกจุดที่คุณยกเป็นข้อดีของระบบปฏิบัติการ ระดับการรับรองความถูกต้อง รหัสผ่านสองอันที่ดีกว่าหนึ่งรหัสปลอม คนส่วนใหญ่จะตั้งค่าให้เหมือนกันอยู่แล้ว (ไม่มีกลไกใน Oracle เพื่อป้องกันสิ่งนี้)

หลักการทั่วไปคือมันเป็นเรื่องยากมากที่จะป้องกันในซอฟต์แวร์เมื่อผู้โจมตีมีการเข้าถึงทางกายภาพ และไม่เคยเชื่อใจลูกค้า

เพิ่มความล้มเหลวเพียงจุดเดียวและขยายขอบเขตความเสี่ยงของข้อมูลของคุณ

ผู้โจมตีที่สามารถเข้าถึงระบบได้ด้วยการพิสูจน์ตัวจริงของระบบปฏิบัติการจะสามารถเข้าถึงฐานข้อมูลได้ โดยต้องการการเข้าถึงฐานข้อมูลที่ปลอดภัยยิ่งขึ้นผู้โจมตีที่อาจเกิดขึ้นจะต้องเพิ่มสิทธิ์ของตนในระบบที่ถูกบุกรุกเพื่อให้สามารถเข้าถึงรูทหรือ oracle ได้มากกว่าผู้ใช้รายอื่น

ปัญหานี้เป็นหน้าที่ของการเข้าถึงฐานข้อมูลภายนอก หากไม่มีการเข้าถึงจากภายนอกและเครื่องได้รับการรักษาความปลอดภัยอย่างเต็มที่คำถามเกี่ยวกับการอนุญาตก็คือ moot อย่างไรก็ตามหากนักพัฒนามีการเข้าถึงสิทธิ์ผู้ใช้ระดับ OS จะเพิ่มขอบเขตของภัยพิบัติด้านความปลอดภัยที่อาจเกิดขึ้น

พิจารณาใช้การเข้าถึงแบบหลายเทียร์เพื่อ จำกัด ขอบเขตของการละเมิดความปลอดภัยและให้สิทธิ์การเข้าถึงแก่ผู้ใช้แอพพลิเคชั่นหรือไคลเอนต์ใด ๆ ที่พวกเขาต้องการโดยไม่จำเป็นต้องสร้างบัญชีระดับ OS สำหรับทุกอินสแตนซ์

Gaius ได้ชี้ให้เห็นแล้วว่าทำไมการตรวจสอบระบบปฏิบัติการระยะไกล (เมื่อเทียบกับการตรวจสอบระบบปฏิบัติการวานิลลาซึ่งคุณอนุญาตให้ผู้ใช้เครื่องท้องถิ่นเข้าถึงฐานข้อมูลโดยไม่ต้องระบุรหัสผ่านแยกต่างหาก) ค่อนข้างไม่ปลอดภัย

ฉันคาดหวังว่า Oracle กำลังเคลื่อนไปในทิศทางนี้เพราะต้องการกระตุ้นให้ผู้ใช้องค์กร (หรือชุดการจัดการข้อมูลประจำตัว) เต็มรูปแบบมากกว่าที่จะรับรองผู้ใช้ระบบปฏิบัติการระยะไกล ผู้ใช้ระดับองค์กรมีข้อได้เปรียบเช่นเดียวกับผู้ใช้ที่ได้รับการรับรองความถูกต้องของระบบปฏิบัติการระยะไกล แต่จริงๆแล้วออราเคิลกำลังจะออกไปข้างนอกและกดปุ่มเซิร์ฟเวอร์ Active Directory ของคุณเพื่อตรวจสอบสิทธิ์ผู้ใช้ คุณจะได้รับสิทธิประโยชน์การลงชื่อเพียงครั้งเดียวโดยไม่ต้องออกจากการตรวจสอบความปลอดภัยกับเครื่องไคลเอนต์

คุณชี้ไปที่การรับรองความถูกต้องแบบระบุตัวตนโดยเฉพาะ แต่ฉันอยากจะชี้ให้เห็นว่าวิธีการผูกฐานข้อมูลอื่น ๆ หรือการเข้าสู่ระบบอื่น ๆ ของการเข้าสู่ระบบของ OS นั้นไม่ดี (ไม่ว่าจะเป็นไฟล์รหัสผ่านท้องถิ่น LDAP หรืออะไรก็ตามสำหรับการจัดเก็บข้อมูลรับรองจริง)

หากคุณอนุญาตให้มีการเชื่อมต่อระยะไกลไปยังฐานข้อมูล (หรือเว็บเซิร์ฟเวอร์หรือสิ่งใดก็ตามที่กำลังทำการตรวจสอบความถูกต้อง) ระบบปฏิบัติการบางระบบจะไม่สนใจกฎที่อาจตั้งค่าเพื่อทำให้บัญชีเดรัจฉานบังคับได้ยาก ผู้ใช้เป็นระยะเวลาหลังจากกำหนดจำนวน falures ฯลฯ ) โดยทั่วไปกฎเหล่านี้จะเชื่อมโยงเข้าsshdด้วยกันและไม่ใช่ระบบการรับรองความถูกต้องโดยรวม

ดังนั้นหากใครบางคนสามารถเชื่อมต่อกับฐานข้อมูล / เว็บเซิร์ฟเวอร์ / อะไรก็ได้จากระยะไกลพวกเขาสามารถเดรัจฉานบังคับใช้รหัสผ่านเนื่องจากฐานข้อมูลมักจะไม่ได้มีกลไกที่เหมือนกันในการพยายามชะลอตัว