Revelada a Segurança de Tempo de Execução da Base de Dados OpenEdge

Transcrição

1 Revelada a Segurança de Tempo de Execução da Base de Dados OpenEdge Regis Martins Ezipato Sr. Solution Engineer Agenda Cenário da segurança de banco em tempo de execução Segurança de banco OpenEdge 10 Comparando tempo de execução e tempo de compilação Configurando segurança em tempo de execução de banco 2 DB-14: OpenEdge Database Run-time Security Revealed 1

2 Propulsor da segurança de banco em tempo de execução Por que usamos segurança de banco em tempo de execução: Porque você tem que atender Regulamentações governamentais Padrões da indústria Requerimentos de privacidade de dados pessoais Responsabilidade legal Penalidades $$ impostas É tudo por causa dos hackers Eles tem ferramentas Eles tem conhecimento Eles tem a motivação 3 DB-14: OpenEdge Database Run-time Security Revealed Segurança de banco Num mundo perfeito, a camada de aplicação não tem regras de segurança: (Chapéu-preto do hacker) SO/Segurança Rede Aplicação A Aplicação B Aplicação C xdbc Driver xdbc Driver xdbc Driver Servidor BD RDBMS (blocos indices) Arq. SO (blocos registros) Utilitários Banco (arquivos de Cache) 4 DB-14: OpenEdge Database Run-time Security Revealed 2

3 Segurança de banco Na realidade, a camada de aplicação tem muitas vulnerabilidades: Aplicação A xdbc Driver Aplicação B xdbc Driver Aplicação C xdbc Driver SO/Segurança Rede Servidor BD RDBMS (blocos indices) Arq. SO (blocos registros) Utilitários Banco (arquivos De cache) 5 DB-14: OpenEdge Database Run-time Security Revealed Função da segurança de banco em tempo de execução Camadas de bloco de código-aplicação & acesso inapropriado do usuário: SQL indica o padrão para segurança de banco em tempo de execução Usuário Administração Banco de Dados Controle de acesso a Views, tabelas & colunas Fornecedores de banco de dados adicionam características de segurança Múltiplos sistemas de autenticação de usuário Privilégios de conexão de usuário Função & privilégios por grupo-usuários 6 DB-14: OpenEdge Database Run-time Security Revealed 3

4 Agenda Cenário da segurança de banco em tempo de execução Segurança de banco OpenEdge 10 Comparando tempo de execução e tempo de compilação Configurando segurança em tempo de execução de banco 7 DB-14: OpenEdge Database Run-time Security Revealed Segurança de Banco do OpenEdge Um Banco 2 sistemas de segurança: Servidor SQL ABL Aplicação ISUD ISUD Usuário Usuário aplicação CRUD CRUD Usuário Usuário OpenEdge RDBMS Banco armazena motor que executa operações sem segurança Clientes SQL & ABL providenciam toda a segurança do banco Privilégios PrivilégiosSQL SQL 8 DB-14: OpenEdge Database Run-time Security Revealed Conta ContaUsuário Tabelas TabelasPúblicas Tabelas TabelasSQL SQL Permissões PermissõesABL ABL 4

5 Comparando Sistemas de Segurança ABL & SQL Modelo Segurança Padrão DBA Padrão Segurança administrador Padrão acesso tabela Padrão acesso campo ABL GRANT n/d * * * GRANT <criador-bd> SYSPROGRESS n/d <nenhum> <nenhum> SQL 9 DB-14: OpenEdge Database Run-time Security Revealed Auditoria do Banco OpenEdge Como saber se o sistema de segurança não foi comprometido? Servidor SQL ABL Aplicação ISUD ISUD Usuário Usuário aplicação CRUD CRUD Usuário Usuário OpenEdge RDBMS Nenhuma operação de acesso a registros via SQL ou ABL pode sobrepor a auditoria Regras RegrasAuditoria Subsistema Auditoria Dados Dados Auditoria Auditoria policies.xml 10 DB-14: OpenEdge Database Run-time Security Revealed Schema Schema & tabela tabelade de dados dados 5

6 Usuário 11 DB-14: OpenEdge Database Run-time Security Revealed Contas de Usuários compartilhadas pela ABL & SQL Tabela de usuários _User : Dois campos requeridos user-id (_Userid) Tamanho Máximo: 12 Caracteres Ilegais: < 32 or #*,!@ password (_Password) ABL: Alterado somente pelo dono da conta SQL: Alterado pelo DBA ou dono da conta Campo Password: tamanho-fixo CRC-16 hash Cuidados nas definições do padrão da conta do SQL DBA <dono-bd> (Privilégios DBA) SYSPROGRESS (Privilégios DBA) PUB (Privilégios dono das tabelas) 12 DB-14: OpenEdge Database Run-time Security Revealed 6

7 Funcionamento contas _User via ABL & SQL ABL Sem contas_user User-id: ID do SO Não pode usar U P para conectar Com contas _User User-id padrão: -U/-P devem ser iguais ao do_user Pode sempre CONECTAR como usuário padrão SQL Sem contas _User User-id padrão: nenhum Conecta com qualquer user-id exceto PUB SYSPROGRESS (senhas ignoradas) Com contas_user User-id padrão: nenhum DEVE se autenticar como conta do _User PUB & SYSPROGRESS aceitos como user-ids 13 DB-14: OpenEdge Database Run-time Security Revealed Movendo ABL para User-id Tudo acontece dentro de programas ABL : ABL: run _edit.p. _edit.p run _prostar.p. _prostar.p run _login.p. * Fontes encontrados no DLC/src & PSDN development tools download 14 DB-14: OpenEdge Database Run-time Security Revealed 7

8 Administrando conta de usuário via ABL & SQL Operações de contas de usuários similares : Criação Conta Deleção Conta Alteração Senha Criação Senha ABL CREATE _user DELETE _user ASSIGN field ENCODE () SQL CREATE USER DROP USER ALTER USER N/D 15 DB-14: OpenEdge Database Run-time Security Revealed Segurança de Banco do OpenEdge Alternativa autenticação de usuário somente para aplicações ABL Servidor SQL ABL Conta ContaUsuário ((_user _user) ) Login Usuário credenciado Usuário Usuário CLIENTE- PRINCIPAL Aplicação ABL Prova de autenticação de Usuário ABL É válido? Y conectando user-id A Validação CLIENTE- PRINCIPAL É valid0? ABL Configuração Configuração 16 DB-14: OpenEdge Database Run-time Security Revealed 8

9 Autorização do Usuário 17 DB-14: OpenEdge Database Run-time Security Revealed Todas as tabelas tem um dono Ambos clientes ABL & SQL respeitam o dono da tabela : PUB (Servidor SQL& ABL user-id) Tabelas de Dados Clientes ABL: Criação, Leitura, Alteração & Deleção Clientes SQL: Inserção, Seleção, Alteração & Deleção Tabelas do Meta Schema Clientes ABL: Criação, Leitura, Alteração & Deleção Clientes SQL: Seleção SYSPROGRESS (user-id privado para Servidor SQL) Clientes ABL : nenhum Clientes SQL : Seleção <cliente-sql> (suportado somente pelo Servidor SQL) Clientes SQL : Inserção, Seleção, Alteração & Deleção Clientes ABL : nenhum 18 DB-14: OpenEdge Database Run-time Security Revealed 9

10 Centro da segurança de banco via ABL Administrado via registro _schema para operações CRUD: assign Registro Registro _Field _Field Permissões Permissões _Canread _Canwrite find for create delete F1 F1 F2 F2 F3 F3 _File _File Permissões Permissões F4 F4 F5 F5 F6 F6 F7 F7 _Cancreate _Canwrite _Canread _Candelete * Algumas vezes permissões residem em tabelas & campos do meta-schema Dados Dados Tabela Tabela 19 DB-14: OpenEdge Database Run-time Security Revealed Segurança de banco via Servidor SQL Administrado via comandos SQL GRANT/REVOKE : _syscolauth _syscolauth Privilégios Privilégios update alter update Somente alteração de colunas selecionadas select insert update delete F1 F1 F2 F2 F3 F3 _systabauth _systabauth Privilégios Privilégios F4 F4 F5 F5 F6 F6 F7 F7 insert update select delete Dados Dados Tabela Tabela 20 DB-14: OpenEdge Database Run-time Security Revealed 10

11 Segurança de banco via Servidor SQL Agrupado para uma mistura de linhas & colunas selecionadas : _syscolauth _syscolauth Privilégios Privilégios alter update update Nenhum acesso de leitura por exclusão select insert update delete F1 F1 F2 F2 F3 F3 _systabauth _systabauth Privilégios Privilégios F4 F4 F5 F5 F6 F6 F7 F7 create insert update select read delete View View Privilégios Privilégios Dados Dados Tabela Tabela 21 DB-14: OpenEdge Database Run-time Security Revealed Administração de Banco 22 DB-14: OpenEdge Database Run-time Security Revealed 11

12 Padrão de administração de banco via SQL DBA tem todos os privilégios* de banco Dono da Tabela tem todos os privilégios para tabela & coluna Um usuário deve ter um privilégio antes de DOAR (GRANT) privilégios para outros O doador de um privilégio pode ANULAR (REVOKE) aquele privilégio Um privilégio pode ser DOADO sem a habilidade para doá-lo para qualquer outro usuário * Exceto OpenEdge Auditing SoD (Separação de deveres) 23 DB-14: OpenEdge Database Run-time Security Revealed Administrador de segurança via ABL revelado Administrador de segurança via ABL NÃO É UM DBA Administrador de segurança via ABL controla Acesso a Tabelas & campos via permissões _Can-* Criação & deleção de contas dos usuários Cliente ABL & Opções de segurança de banco A lista de usuários Administradores de Segurança é replicada em muitos lugares Veja PSDN open-source development tools src/prodict/user/_usradmn.p 24 DB-14: OpenEdge Database Run-time Security Revealed 12

13 Agenda Cenário da segurança de banco em tempo de execução Segurança de banco OpenEdge 10 Comparando tempo de execução e tempo de compilação Configurando segurança em tempo de execução de banco 25 DB-14: OpenEdge Database Run-time Security Revealed Segurança em Tempo-Compilação X Tempo-Execução Conectando user-id Acesso Tabela & coluna Tempo Compilação Fixo Fixo Tempo Execução Dinâmico Dinâmico Impacto Tempo-Execução Segurança aplicação por contexto Risco a segurança por usuário personificado & r-code traiçoeiro < tempo-execução Sim Alto > Tempo compilação Não Baixo 26 DB-14: OpenEdge Database Run-time Security Revealed 13

14 Segurança Banco OpenEdge ABL.r-code contém somente operações permitidas para CRUD: Login user credenciados.p fonte (CRUD) Compilador Núcleo ABL Servidor Banco OE Todos reg. operações Buffer dinâmico (CRUD) Buffer estático Usuário conectando user-id (RU) Contas usuários ( _user ) Permissões.r compilado (RU) (RU) Operações Registros Permitidas 27 DB-14: OpenEdge Database Run-time Security Revealed user acessa? Checa user-id para operações permitidas Dados Públicos Segurança Banco OpenEdge Padrão de checagem de permissão em tempo-execução via ABL: Login user credenciados Executor Núcleo ABL Servidor Banco OE.r compilado (RU) Checado em tempo execução autenticação usuário conectando user-id Contas usuários ( _user ) Permissões.r compilado (CRUD) Buffer dinâmico Buffer estático user acessa? Dados Públicos 28 DB-14: OpenEdge Database Run-time Security Revealed Não checado em tempo de execução 14

15 Segurança Banco OpenEdge Núcleo ABL checagem permissão em tempo-execução opcional: Login user credenciados Executor Núcleo ABL Servidor Banco OE.r compilado (RU) Usuário conectando user-id Contas usuários ( _user ) Permissões.r compilado (CRUD) Buffer dinâmico Buffer estático 29 DB-14: OpenEdge Database Run-time Security Revealed user acessa? Todas operações checadas em tempo execução Dados Públicos Agenda Cenário da segurança de banco em tempo de execução Segurança de banco OpenEdge 10 Comparando tempo de execução e tempo de compilação Configurando segurança em tempo de execução de banco 30 DB-14: OpenEdge Database Run-time Security Revealed 15

16 Configurando Segurança de Banco A melhor segurança de banco vem de múltiplas camadas : Segurança de aplicação ABL & SQL (Adiciona segurança de aplicação contextual para as características de segurança construídas na base de dados) Segurança em tempo execução do banco OpenEdge (Protege a base de um código de aplicação e/ou usuário traiçoeiro ) Sistema de permissões de arquivos do SO (Protege utilitários de banco, configuração e arquivos de dados de outros processos do SO) 31 DB-14: OpenEdge Database Run-time Security Revealed Opções de segurança de banco OpenEdge Muitas opções de segurança disponíveis para ajustar-se a sua aplicação : 1. Administração do Banco 2. Conexão de usuário ao banco 3. Acesso a Tabela & coluna/campo 4. Auditoria de banco 32 DB-14: OpenEdge Database Run-time Security Revealed 16

17 Início da segurança com Conta de Usuário Quando as contas de usuário de banco são requeridas? Um local para iniciar Banco contém dados privados ou confidenciais? SIM: Eu configuraria contas de usuários de banco 1 ou mais administrador de contas _user 1 ou mais contas de _user para acesso a dados Elimina contas default de usuários embutidas Contas _user requeridas para usuários individuais? Se servidor SQL é usado: SIM Se SQL não é usado: pode usar contas de usuários de aplicação via o objeto CLIENT-PRINCIPAL 33 DB-14: OpenEdge Database Run-time Security Revealed Passos para administrar segurança de banco Servidor SQL é usado, configure a segurança de DBA primeiro: 1. Conecte SQL Explorer como um user-id qualquer e encontre o db-owner do banco SELECT * from SYSPROGRESS.SYSDBAUTH; 2. É o user-id que não é o SYSPROGRESS 3. Reconecte SQL explorer com o user-id db-owner 4. Crie uma conta de DBA comum para ABL/SQL CREATE USER MYDBA, dba-pwd ; GRANT RESOURCE, DBA to MYDBA; 34 DB-14: OpenEdge Database Run-time Security Revealed 17

18 Passos para administrar segurança de banco Nomeando DBAs para SQL & donos das tabelas : 1. Conecte SQL Explorer como MYDBA 2. Crie conta de usuário com senhas conhecidas CREATE USER SYSPROGRESS, pwd ; CREATE USER <db-owner>, pwd ; CREATE USER PUB, pwd ; 35 DB-14: OpenEdge Database Run-time Security Revealed Passos para administrar segurança de banco Defina Administrador de Segurança ABL: Use Data Administration Tool para retirar o acesso PUBLIC do Administrador de Segurança 1. Defina conta de usuário de administração comum para ABL [ & SQL] [ MYDBA ] Admin->Security->Edit User list 2. Coloque a lista do administrador de segurança para MYDBA * Admin->Security->Security Administrators * Melhores práticas indicam 2 contas de usuários definidas 36 DB-14: OpenEdge Database Run-time Security Revealed 18

19 Administração do schema de banco Cliente ABL não pode alterar privilégios de usuários SQL Cliente SQL não pode alterar permissões de usuários ABL Defina seu DBA-ABL por privilégio (grant) Grant PUBLIC ( * ) to _File._Can-read Grant _Can-create, _Can-write, _Can-delete para lista de contas do administrador de segurança ABL para schema security _File._File _File._sec-role _File._Field _File._sec-granted-role _File._Index _File._sec-authentication-domain _File._Index-field _File._sec-authentication-system 37 DB-14: OpenEdge Database Run-time Security Revealed Habilite Características de Segurança Avançadas ABL 1. Atualize para a versão 10.1A+ 2. Se não estiver criando um novo banco na 10.1B+, atualize definições de schema de segurança $ proutil db C updateschema OU habilite Auditoria OpenEdge $ prostrct add db audit-areas.st $ proutil db C enableauditing area data-area-name indexarea index-area-name [disableindexes] 38 DB-14: OpenEdge Database Run-time Security Revealed 19

20 Segurança na conexão via ABL Opcionalmente bloqueie as conexões dos usuários em branco via menu do Database Administration Admin->Database Options Disallow Blank UserID* (*Requer 1 conta _user & -U/-P na conexão) Escolha seu projeto de controle de acesso via ABL Todas conexões de banco usam o ID do usuário Aplicação conecta-se ao banco usando Um único user-id para o banco (1 usuário tem todas as permissões para todas as tabelas) Uma conta ou grupo de contas (cada user-id da aplicação tem exatamente 1 função) 39 DB-14: OpenEdge Database Run-time Security Revealed Ligando R-code para o Banco OpenEdge DBAUTHKEY no caso da segunça em tempo de execução não realizável : Opção de segurança de baixo nível, mas viável para alguns casos Simples chave-secreta Embutido no banco Compilado no r-code Checado pela ABL em tempo de execução Não recomendado onde: ABL é customizada no site de produção Banco é usado em múltiplas aplicações Alteração de aplicação com subconjunto de módulos.r-code 40 DB-14: OpenEdge Database Run-time Security Revealed 20

21 Duas estratégias de Permissões de Segurança via ABL Escolha com qual sua aplicação se ajusta melhor : Use o padrão de desenvolvimento de aplicação Nas [schema] tabelas onde dado é PUBLIC Negue acesso ao usuário para tabelas com dados restritos* Negue acesso ao usuário em branco para todas as tabelas & campos Admin->Security->Disallow Blank Userid Access Use modelo recomendado pela indústria - GRANT Se sua aplicação usa segurança via SQL Tabelas que contenham acesso restrito tanto a tabela ou a campos Padrão de acesso a tabela/campo é o administrador de sistema Adicione (grant) & remova (revoke) contas de usuários seletivos * Prática de segurança não recomendada 41 DB-14: OpenEdge Database Run-time Security Revealed Segurança de banco em tempo de execução via ABL Habilitando checar permissão em tempo de execução via ABL : Habilite checagem em tempo de execução via o data administration tool s dialog Admin->Database Options Use Runtime Permissions Checking Altere checagem de código de erro na aplicação (se necessário) Dica: use ABL CAN-DO() para testar lista de permissões find _File where _File._File-Name = Customer. if CAN-DO(_File._Can-Delete, user_id) then DELETE Customer. 42 DB-14: OpenEdge Database Run-time Security Revealed 21

22 Controlando a checagem de permissões em tempo de execução Se permissão negada, use evento STOP Feche comando num block com ON STOP DO ON STOP UNDO, LEAVE : FIND customer WHERE CustNum = m_icustnum NO-ERROR. END. IF ( ERROR-STATUS:ERROR AND INDEX(ERROR-STATUS:GET-MESSAGE(1), permission denied ) <> 0) THEN RETURN ERROR Customer table read access denied. 43 DB-14: OpenEdge Database Run-time Security Revealed Segredos das Permissões via ABL 3 papéis do Administrador de Segurança para vc não esquecer : Um administrador de segurança NÃO tem tratamento especial Acesso a tabela Acesso a campo Concessão/retirada de outros administradores de segurança Cada permissão de campo _Can-* deve ter um dos Uma conta de Administrador de Segurança PUBLIC ( * ) Nunca, nunca, nunca deixe uma lista de permissão _Can-* em branco 44 DB-14: OpenEdge Database Run-time Security Revealed 22

23 Segredos das Permissões via ABL Papéis da lista de permissões via ABL _Can-* : Ordem dependente, lista dos nomes de contas separada por vírgula (sem espaço em branco!) Adicione nome da conta para concessão de acesso, remova nome da conta para retirar o acesso Use! para explicitamente negar acesso para uma conta Use * para indicar múltiplas contas de usuários Acesso PÚBLICO (todas as contas) Pode usar xxx_* ou *_xxxx para nome de contas com o mesmo prefixo ou sufixo 45 DB-14: OpenEdge Database Run-time Security Revealed Exemplo de Lista de Permissão ABL Nega concessão de acesso ao usuário em branco e para todas as contas Nega usuário em branco & fred, concede acesso para todas as outras contas Concede acesso para usuário em branco e todas as contas Puro modelo GRANT (nega user-id em branco) Concede qualquer conta começando com dba_!!,!fred,* * fred,wilma,mydba barney,dba_*, MYDBA Ilegal, ninguém tem acesso!!! Primeiro a lista de usuários negados Equivalente ao acesso PUBLIC do SQL Equivalente modelo GRANT do SQL Uso interessante para grupos de contas 46 DB-14: OpenEdge Database Run-time Security Revealed 23

24 Combinações de Permissões ABL Pemissões ABL forçadas em baixo nível : FIND, GET, FOR-EACH tipo de comandos _File._Can-Read EQ, GT, LT, acesso à campo _File._Can-Read, _Field._Can-Read CREATE registro _File._Can-Read, _File._Can-Create, _File._Can-Write, _Field._Can-Write (required fields) ASSIGN registro e valores de campos _File._Can-Read, _File._Can-Write, _Field._Can-Write DELETE registro _File._Can-Read, _File._Can-Delete 47 DB-14: OpenEdge Database Run-time Security Revealed Mantendo SQL e ABL em Sincrônia Controles de acesso similares para PUB tabelas & colunas : View Tabela Coluna/campo SQL INSERT SELECT UPDATE DELETE INSERT SELECT UPDATE DELETE (view) UPDATE N/D ABL _Can-create _Can-read _Can-write _Can-delete _Can-read _Can-write 48 DB-14: OpenEdge Database Run-time Security Revealed 24

25 Privilégios & Permissões ADVERTÊNCIA! Cuidado com privilégios e permissões orfãos: Operações de Grant/revoke não checam a presença de nome de contas Privilégios de contas SQL & Permissões ABL não são removidas quando a conta é deletada (incluindo DBA & Administrador de Segurança) Se uma nova conta for criada com o mesmo nome, ela herdará todos os privilégios & permissões da antiga conta (também pode ser usada como uma ferramenta de recuperação) 49 DB-14: OpenEdge Database Run-time Security Revealed Resumindo Maior pressão para incluir segurança de banco em tempo de execução para barrar intrusos torna-se mais sofisticados OpenEdge tem adicionado novas características de segurança OpenEdge RDBMS pode satisfazer suas necessidades de segurança em tempo de execução 50 DB-14: OpenEdge Database Run-time Security Revealed 25

26 Para maiores informações, veja PSDN OpenEdge SQL Authorization Documentação: OpenEdge Database Management: Database Administration OpenEdge Database Management: SQL Reference OpenEdge Development Collection: Progress 4GL Referenced 51 DB-14: OpenEdge Database Run-time Security Revealed Perguntas? 52 DB-14: OpenEdge Database Run-time Security Revealed 26

27 Obrigado pelo seu tempo 53 DB-14: OpenEdge Database Run-time Security Revealed Bonus ABL Permission List Examples Table lock-out, dump & load to recover Deny fred, grant access to all other accounts Grant access to fred and all accounts Pure GRANT model (denies blank user-id) Grant model, deny PUBLIC access Grant model, grant blank userid as middle account Grant model, grant blank userid as first account!fred,fred,* fred,!fred,* fred,wilma,mydba fred,wilma,mydba,!* fred,,wilma,mydba,fred,wilma,mydba 54 DB-14: OpenEdge Database Run-time Security Revealed 27