問題タブ [database-security]

私の webapp は、5 つのスキーマを持つ SQL 2008 データベースでストアド プロシージャの読み取り、書き込み (INSERT、UPDATE、DELETE)、および実行を行う必要があります。

SQL を介して認証するユーザーを作成し、[セキュリティ] -> [ログイン] -> [(ユーザー名) プロパティ] -> [ユーザー マッピング] を介して、ユーザーに db_datareader、db_datawriter、および db_procedureexec を付与しました。次に、ユーザー名と適切なパスワードを使用してデータベースに接続するようにアプリを構成しましたが、ストアド プロシージャを実行しようとすると、次のエラーが発生しました。

データベースのセキュリティ セクションでこのユーザーを見つけ、DB 内の 5 つのスキーマの所有者にしました。

付与した特権が多すぎませんか? プロシージャの読み取り、書き込み、および実行を行うために、アプリケーション レベルのユーザーはスキーマの所有者である必要がありますか?

Access 2010 データベースを作成していますが、同時実行性とセキュリティに関して説明が必要です。私が望むのは、アプリを起動すると、ログインボタンを含むいくつかのボタンが表示されるメニューフォームのみです。ほとんどのボタンは、権限グループに基づいて、ユーザーがログインするまで無効になります。Viewer(デフォルト)、Worker、Editor、Admin。

また、管理者だけがアクセス データベースを表示できる必要がありますが、他のユーザーはフォームのみを表示するように制限されています。

私はデフォルトの同時実行の実装をテストしていましたが、データベースを共有ネットワークに保存し、自分と同僚にアクセスを試みさせました。データベースにアクセスすると、他の人からロックされ、両方が同時に試行すると、読み取り専用になることがわかりました。

だから私はこれを始める方法についてのヒントを探しています。

オンライン誓約コンポーネントを備えた Web サイトを立ち上げましたが、html/javascript を使用する人々によってハッキング/悪用され続け、署名ページでおかしなことが起こります。これを防ぐために、フィールドから非アルファをスクリプト化する方法がわかりません。

以下は、フォームデータをデータベースに記録するために使用しているコードです。preg_replace 関数の実装方法に関する提案はありますか (それが最適な場合)。また、これはエクスプロイトを防ぐのに最適な場所ですか、それとももっと理想的な場所が他にありますか?

私は、NoSQL、特にCouchDBに専念しているDEFCONを見ました。彼らは、クライアントライブラリ（疑似SQLトランスペアレントレイヤー）へのアクセス、dbへのアクセス、そしてブルートキーへのアクセス（スキーマなしの方法で）、json/viewインジェクションなどの攻撃のいくつかのベクトルを観察します。インターネットから直接dbにアクセスしたままにして、db検証、認証で使用した場合。そうすると、データベースの安全性が低下しますか？

残念ながら、CouchDBでの作業経験が不足しているため、正確な分析ができません。親愛なる同僚の意見に頼ってください。

ありがとうございました。

ユーザーがログインすると、データベースに関連するすべての機能を持つdbclassのパブリック静的メンバーである接続'conn'を開きます。その後、アプリケーションが閉じられるまでconnは開いたままになります

アプリケーションのパフォーマンスを測定可能に低下させることはありませんが、データベースクエリのパフォーマンスを大幅に向上させます。

セキュリティ上の問題はありますか？データベースが一元化されており、2台または3台のPCが独立したアプリケーションでデータベースを使用している場合、ログイン時に接続を開くことにより、どのようなセキュリティの問題が発生する可能性がありますか？

または、将来直面する他の問題はありますか？

最初のコメントへの返信で編集

timespan.totalmillisecondsで確認しました。接続がすでに開いているときにクエリを実行するよりも、クエリを開いて実行する場合の時間は2倍未満です。

編集---実際の回答が必要です。

正当な理由のある人がセキュリティの問題はないと私に言った場合、または正当な理由のある人が「はい」と言った場合、これが主要なセキュリティの問題です。それは他の人の応答を待った後に受け入れられる答えになります。

グーグル検索で、私の質問のポイントとなる記事/回答は見つかりませんでした。

mysql_*コードをPDOコードに変換するプロセスを実行しました。私はそれを実行し、それが機能することとすべてを確認しました。Stack Overflowによるレビューが必要です。接続を適切に切断していることを確認し、代わりに他の方法（トランザクションなど）を使用するかどうかを確認し、重大なセキュリティ上の欠陥がないことを確認します。コードは次のとおりです。

私が言ったように、それは機能しますが、100人が同時に登録するときに安全で効果的であることを望んでいます。すべてが大丈夫に見えますか？

MySQL で透過的データ暗号化 (TDE)を有効にしたいと考えています。データベース全体が暗号化されていてもかまいません (いくつかの列、行、またはテーブルとは対照的に)。勉強で使っているので、オープンで無料のものを探しています。zNcryptを見つけましたが、これは商用製品です。彼らは基本的にオープンソースのeCryptfsを使用していますが、MySQL 用に適切に構成する方法を見つけることができませんでした。MySQL で eCryptfs を使用する方法や、MySQL で TDE を有効にするためのその他のソリューションを使用する方法については、非常に役立ちます。ありがとう！

私は非常に安全なJavaSpringWebアプリの一部です。これまでのところ、テスト環境では、クラスパス上にあるプロパティファイルからデータベースのユーザー名とパスワードを読み込んでいます。パスワードは、ローカルファイルシステムからロードするキーで暗号化されます。

私の仕事は、ソフトウェアツールのみを使用してより良い方法（より安全な方法）を見つけることです。私はwebappまたはsmthの起動時にdbユーザー名とパスワードを提供することを考えていました（しかし、DB管理者が起動時に存在する必要があるため、それでも問題ないようです）。それ以外は行き詰まっています。

この問題に対処するための最良の方法は何ですか？

アプリケーションが許可した SQL lite (Android データベース) のデータのみにアクセスできるように制限するにはどうすればよいですか? たとえば、連絡先リストから選択した連絡先が、電話で実行されているアプリケーションからアクセスされないようにしたいですか? Androidが提供するデフォルトの連絡先ビューアーアプリケーションからでも、実行時に選択した連絡先を非表示にするアプリケーションを作成しています。

データベースのセキュリティに関する質問があります。これが私のシナリオです：

1. プライベート内部サーバー上に、関連付けられた mySql データベース (メイン) を持つ CodeIgniter アプリがあります。
2. メイン データベースのデータのサブセットを必要とするサテライト アプリケーションがいくつかあります。

メイン データベースのデータが侵害されないようにすることが不可欠です。これらのデータベースのサブセットを、サテライト アプリがアクセスできる公共の場所にミラーリングする必要があると考えました。このように、通信は単方向です。

これを達成するための最良の方法は何ですか？データベースを保護するために、他にどのようなセキュリティ対策をお勧めしますか?