Seguridad de la base de datos de Firebird 2.5.2

[[Delphius]]

Empezado por Kiranov

sin embargo, que impediria que un usuario que tiene acceso físico al servidor saque una copia de la base de datos, la copie a otro equipo que tenga firebird y realice una conexion a la base de datos teniendo acceso a la estructura de la base de datos y peor aun, a los datos de los mismo clientes? yo he realizado esta prueba.

Precisamente si sucede eso es que la seguridad se ha planteado de forma incorrecta Y por ello sugerí la lectura del paper. En dicho documento se aborda algunas cuestiones relacionadas con la seguridad de las base de datos y aclara bien a como es que, y porqué, se ha diseñado Firebird de esa manera. Y da consejos de como encarar el tema.
Como ha dicho ecfisa, si alguien puede meter mano al server algo anda mal y no tiene la culpa de eso ni Firebird ni el SO del servidor... la culpa ya es de quien lo administra y controla.

Para la versión 3.0 se espera que se incorpore, además, la seguridad a nivel de base de datos.

Saludos,

[Combat-F2D]

considero, es mi parecer, que el poder acceder fisicamente a un FDB ó GDB en un momento dado puede tener más ventajas que inconvenientes si por algun motivo el sysdba desaparece o boicotea el sistema; lo digo por experiencia.

resulta más fácil proteger la maquina que el fichero, o eso creo

[belpab]

Empezado por Delphius

Precisamente si sucede eso es que la seguridad se ha planteado de forma incorrecta Y por ello sugerí la lectura del paper. En dicho documento se aborda algunas cuestiones relacionadas con la seguridad de las base de datos y aclara bien a como es que, y porqué, se ha diseñado Firebird de esa manera. Y da consejos de como encarar el tema.
Como ha dicho ecfisa, si alguien puede meter mano al server algo anda mal y no tiene la culpa de eso ni Firebird ni el SO del servidor... la culpa ya es de quien lo administra y controla.

Para la versión 3.0 se espera que se incorpore, además, la seguridad a nivel de base de datos.

Saludos,

Estoy de acuerdo con este comentario, pero también entiendo a nuestro compañero cuando dice que no es seguro, puesto que si por cualquier circunstancia la base de datos sale de tu servidor, los datos están total y absolutamente abiertos y a merced de lo que quieran hacer con ellos y eso hasta cierto punto vulnera la ley de protección de datos. Ademas no solo los datos, también los procedimientos, y tablas que en cierto modo considero que son propiedad intelectual del programador . Al menos en mi opinión.

Pero centrándonos en el tema de la seguridad a nivel de base de datos. ¿ Esta confirmado el tema de que en la versión 3.0 se va a incluir este nivel de seguridad? por que pienso que seria el paso enorme para eliminar el miedo que nos hace a muchos el cuestionarnos usar Firebird. ¿Tenéis alguna información al respecto? por que he estado buscando información de este tema y no he encontrado nada que me diga que así va a ser.

Aprovecho la ocasión para preguntar ( si no es mucho pedir ) si alguien sabe de algún administrador de base de datos tipo IBexpert que me permita trabajar con firebird 3.0.

Gracias de antemano a todos y un cordial saludo.

[[Delphius]]

Empezado por belpab

Estoy de acuerdo con este comentario, pero también entiendo a nuestro compañero cuando dice que no es seguro, puesto que si por cualquier circunstancia la base de datos sale de tu servidor, los datos están total y absolutamente abiertos y a merced de lo que quieran hacer con ellos

Primero está la seguridad física, luego la lógica.
Repito: si alguien, cualquiera no autorizado, puede meter sus manos al servidor es que sus políticas y medidas de seguridad no están bien planteadas. Y no interesa si hay medidas en lo lógico.
Se me hace que falta un poco de cátedra de auditoría por algunos lares. En los estándares justamente se define y se centran muchísimo más en la seguridad física; después de todo en lo lógico queda abierto a que se defina de forma secundaria y en base las posibilidades y las políticas de la empresa/organización y son medidas complementarias a las primeras.

Empezado por belpab

y eso hasta cierto punto vulnera la ley de protección de datos.

Cada país tiene su propia ley de protección de datos. Por otro lado, cuando se trata de datos sensibles justamente hay mecanismos que pueden aportar al tema, y estos son excluyentes a lo que son base de datos. Ese no es el trabajo de un motor. Es decir, que implementar esas medidas de seguridad son ya responsabilidad de quien elabora y lleva a cabo el proyecto. Repito: un motor de base de datos no tiene porqué hacerlo ni implementar otras medidas de seguridad a nivel de datos dentro de sus bases de datos por defecto. Si tu deseas resguardar los datos de forma lógica, emplea y complementa con otras herramientas y tecnologías que están pensadas para eso.
Por ejemplo, si necesitas almacenar información cifrada entonces hazlo vía sistema, no le des más trabajo al motor. Al motor no le interesa que sea cifrada o no el contenido, el regresa lo que le mandes. Tu aplicación es la responsable de coordinar y garantizar de llevar a cabo las medidas de seguridad complementarias.
Ya el motor tiene su cuota de medida de seguridad para garantizar que los datos se mantengan de forma íntegra y puedan recuperarse ante ciertos niveles, y tolerable, de fallos.

Empezado por belpab

Ademas no solo los datos, también los procedimientos, y tablas que en cierto modo considero que son propiedad intelectual del programador . Al menos en mi opinión.

Una cosa son los datos, cuya propiedad intelectual pertenecen al que los genera (léase Empresa, etc) y otra la propiedad intelectual de quien diseña la base de datos. Son dos tipos diferentes de derechos y propiedad intelectual y para cada quien hay cierta regulación; que de nuevo... depende de cada país.
No por leer la metadata de la estructura de la base de datos y los procedimientos implementados se está en una violación de la propiedad del desarrollador/empresa desarrolladora. Es más hasta cierto punto esta información debiera ser pública puesto que al ser los datos de la empresa tiene parte de los derechos de saber cómo es que están estructurados y como procesarlos si en el futuro necesita migrar a otros entornos y/o infraestructura. Negarles esta posibilidad es atar a una empresa a un modelo muy cerrado y totalmente dependiente de quien desarrolla el sistema.

Nuevamente invito a leer el paper

Empezado por belpab

Pero centrándonos en el tema de la seguridad a nivel de base de datos. ¿ Esta confirmado el tema de que en la versión 3.0 se va a incluir este nivel de seguridad? por que pienso que seria el paso enorme para eliminar el miedo que nos hace a muchos el cuestionarnos usar Firebird. ¿Tenéis alguna información al respecto? por que he estado buscando información de este tema y no he encontrado nada que me diga que así va a ser.

Está FirebirdNews, y está su Roadmap. Fíjate que en su ruta, figura el ítem Security enhancements. Éste hace referencia a esas mejoras. Y ya antes habían dado más detalles a través de sus sitios de noticia, y también desde MindTheBird.

Empezado por belpab

Aprovecho la ocasión para preguntar ( si no es mucho pedir ) si alguien sabe de algún administrador de base de datos tipo IBexpert que me permita trabajar con firebird 3.0.

Gracias de antemano a todos y un cordial saludo.

Si aún no sale la versión 3.0 ¿como esperas que exista, hoy en día, un administrador que lo soporte? La pregunta carece de sentido alguno ¿no crees? Cuando salga la FB3 allí se verá, y muy seguramente casi en forma paralela las nuevas versiones de IBExpert con soporte para ésta.
También está FlameRobin, que es la contraparte Open Source de IBExpert... y que incluso es multiplataforma. Seguramente también se ha de esperar que salgan nuevas liberaciones de FlameRobin para la versión 3 de Firebird.

Saludos,

[belpab]

Gracias por la informacion Delphius. Respecto a lo de la seguridad simplemente discrepamos y tenemos diferentes puntos de vista eso es todo. Pero lo bueno Y enriquecedor es que haya diferentes opiniones y formas de ver la vida. Sigo pensando que un control de usuarios a nivel de base de datos es mucho mas util y necesario. Este nivel de seguridad no implica que el cliente tenga o no acceso a sus datos pero le da un nivel extra de seguridad. Insisto, es mi forma de pensar y entiendo perfectamente la tuya, incluso la comparto, yo tambien considero que la seguridad a nivel de hardware en primera instancia y de S.O. En segunda instancia son imprescindibles, pero considero tambien necesario un tercer nivel de seguridad a nivel de Base de datos. De todos mosdos, si como parece, con la version 3 de firebird esto va incluido todos quedamos contentos y me imagino que sera porque lo han visto como una buena mejora

Lo de el administrador de la base de datos reconozco que ha sido una ida de olla perdon a todos por mi ida de olla.

Agradezco tu tiempo empleado en responderme y la prontitud con la que lo has hecho, tal y como ocurre siempre desde este magnifico portal, que se ha convertido en una herramienta casi imprescindible para los que andamos en el mundo de Delphi. Un abrazo a todos.