设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [15023] 2020-02-16_等保测评2.0：SQLServer身份鉴别 ...
返回列表 发新帖
查看: 0|回复: 0

[15023] 2020-02-16_等保测评2.0：SQLServer身份鉴别

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-02-16_等保测评2.0：SQLServer身份鉴别 等 保 测 评 2 . 0 ： S Q L S e r v e r 身 份 鉴 别 原 创   起 于 凡 而 非 于 凡   F r e e B u f   2 0 2 0 - 0 2 - 1 6 一 、 前 言 一 、 前 言 本 篇 文 章 主 要 说 一 说 本 篇 文 章 主 要 说 一 说 S Q L S e r v e r 数 据 库 中 身 份 鉴 别 控 制 点 的 中 数 据 库 中 身 份 鉴 别 控 制 点 的 中 c 、 、 d 测 评 项 相 关 内 容 和 理 解 。 测 评 项 相 关 内 容 和 理 解 。 二 、 测 评 项 二 、 测 评 项 c ) 当 进 行 远 程 管 理 时 ， 应 采 取 必 要 措 施 防 止 鉴 别 信 息 在 网 络 传 输 过 程 中 被 窃 听 ； d ) 应 采 用 口 令 、 密 码 技 术 、 生 物 技 术 等 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 对 用 户 进 行 身 份 鉴 别 ， 且 其 中 一 种 鉴 别 技 术 至 少 应 使 用 密 码 技 术 来 实 现 。 三 、 测 评 项 三 、 测 评 项 c c ) 当 进 行 远 程 管 理 时 ， 应 采 取 必 要 措 施 防 止 鉴 别 信 息 在 网 络 传 输 过 程 中 被 窃 听 ； 3 . 1 .   默 认 加 密 默 认 加 密 以 前 我 一 直 以 为 S Q L S e r v e r 的 鉴 别 信 息 （ 数 据 库 连 接 字 符 串 ） 如 果 不 经 过 特 殊 处 理 在 网 络 传 输 过 程 中 是 明 文 传 输 的 。 后 来 上 网 查 了 下 ， 网 上 提 到 说 ： 联 机 从 书 上 提 到 过 从 S Q L   S e r v e r   2 0 0 5 开 始 ， S Q L   S e r v e r 和 客 户 端 的 连 接 是 自 动 加 密 的 我 去 翻 了 下 S Q L S e r v e r   2 0 0 8   R 2 的 联 机 丛 书 ， 上 面 确 实 提 到 ， S Q L   S e r v e r   始 终 对 与 登 录 关 联 的 网 络 数 据 包 加 密 ： 那 么 以 网 上 的 那 篇 文 章 内 容 来 说 的 话 ， S Q L S e r v e r   2 0 0 5 开 始 ， S Q L S e r v e r 默 认 会 对 与 登 录 关 联 的 网 络 数 据 包 加 密 ， 具 体 网 址 如 下 ： S Q L   S e r v e r   连 接 加 密   ( 1 )   —   S Q L   S e r v e r   c o n n e c t i o n   e n c y p t i o n 但 是 ， 要 注 意 ： S Q L S e r v e r 自 动 生 成 的 证 书 是 一 种 自 签 名 的 证 书 ， 而 通 过 自 签 名 证 书 实 现 的 S S L 并 不 能 提 供 很 强 的 安 全 性 。 同 时 ， 虽 然 默 认 会 对 与 登 录 关 联 的 网 络 数 据 包 加 密 ， 但 是 对 与 登 录 无 关 的 网 络 数 据 包 是 默 认 不 加 密 的 ： S Q L   S e r v e r   连 接 加 密   ( 2 )   —   S Q L   S e r v e r   c o n n e c t i o n   e n c y p t i o n 。 不 过 该 测 评 项 也 仅 仅 只 是 要 求 防 止 鉴 别 信 息 在 网 络 传 输 过 程 中 被 窃 听 ， 所 以 与 登 录 无 关 的 网 络 数 据 包 是 否 加 密 ， 不 在 这 里 考 虑 。 3 . 2 .   强 制 加 密 强 制 加 密 那 么 ， 原 初 级 教 程 里 提 到 的 强 制 加 密 是 用 来 干 什 么 的 呢 ？
这 个 强 制 加 密 在 S Q L   S e r v e r   C o n f i g u r a t i o n   M a n a g e r 中 有 两 个 地 方 ， 一 个 是 S H T E C S Q L E X P R E S S 的 协 议 的 属 性 中 进 行 设 置 ： 一 个 在 S Q L   N a t i v e   C l i e n t 配 置 的 属 性 中 进 行 设 置 ： 这 两 个 有 什 么 不 同 呢 ？ S H T E C S Q L E X P R E S S 的 协 议 属 性 中 的 强 制 加 密 ， 默 认 为 否 ： 当 把 该 选 项 设 置 为 是 之 后 ， S Q L   S e r v e r 就 会 要 求 对 所 有 它 和 客 户 端 之 间 的 数 据 包 传 送 进 行 加 密 ， 无 论 客 户 端 是 否 配 置 为 要 求 加 密 。 此 时 用 来 加 密 的 密 钥 仍 旧 是 之 前 在 建 立 连 接 阶 段 使 用 的 证 书 。 如 果 S H T E C S Q L E X P R E S S 的 协 议 属 性 中 的 强 制 加 密 未 设 置 为 是 ： 那 么 是 否 对 某 客 户 端 的 所 有 传 输 过 来 的 数 据 进 行 加 密 就 完 全 取 决 于 客 户 端 的 配 置 ， 也 就 是 客 户 端 的 数 据 库 连 接 驱 动 的 配 置 。 在 C o n f i g u r a t i o n   M a n a g e r 中 ， 可 以 设 置 S Q L   N a t i v e   C l i e n t 配 置 。 当 S Q L   N a t i v e   C l i e n t 配 置 属
性 中 的 强 制 加 密 为 是 的 话 ， 就 表 明 客 户 端 要 求 加 密 数 据 包 。 此 时 客 户 一 定 要 信 任 S Q L   S e r v e r 端 的 证 书 （ 也 就 是 信 任 服 务 器 证 书 为 是 ） ， 否 则 连 接 无 法 建 立 。 另 外 ， 需 要 注 意 的 是 ， 此 处 的 配 置 只 对 使 用 N a t i v e   C l i e n t 的 客 户 端 程 序 有 效 果 。 其 他 驱 动 程 序 也 会 有 相 应 的 方 法 分 别 作 配 置 。 如 O D B C 驱 动 就 可 以 通 过 C l i c o n f g 控 制 台 来 配 置 ， 等 等 具 体 的 原 文 在 这 ： S Q L   S e r v e r   连 接 加 密   ( 2 )   —   S Q L   S e r v e r   c o n n e c t i o n   e n c y p t i o n 。 S Q L S e r v e r   2 0 0 8   R 2 的 联 机 丛 书 中 也 有 说 到 这 部 分 的 内 容 ： 所 以 强 制 加 密 的 第 一 个 作 用 是 可 以 使 用 自 己 配 置 的 证 书 ， 第 二 个 作 用 就 对 多 所 有 的 网 络 传 输 数 据 进 行 加 密 。 对 于 这 个 测 评 项 而 言 ， 第 二 个 作 用 没 有 意 义 ， 而 手 动 配 置 证 书 有 意 义 ， 因 为 它 可 以 提 高 安 全 性 ： 使 用 自 签 名 证 书 加 密 的   S S L   连 接 不 提 供 强 安 全 性 。 它 们 容 易 在 传 输 中 途 受 到 攻 击 。 在 生 产 环 境 中 或 在 连 接 到 I n t e r n e t   的 服 务 器 上 ， 不 应 依 赖 使 用 自 签 名 证 书 的   S S L 。 3 . 3 .   手 动 配 置 证 书 手 动 配 置 证 书 如 果 要 判 定 为 符 合 ， 应 该 不 使 用 自 签 名 证 书 （ 也 即 S Q L S e r v e r 自 动 生 成 的 证 书 ） 。 手 动   配 置 S Q L S e r v e r 的 过 程 如 下 ：
3 . 4 .   i p s e c 使 用 I P S e c 也 可 以 实 现 传 输 数 据 的 加 密 ： 3 . 5 .   测 评 项 测 评 项 c 总 结 一 总 结 一 该 测 评 项 对 于 默 认 状 态 下 的 S Q L S e r v e r 应 该 属 于 部 分 符 合 ， 因 为 默 认 情 况 下 S Q L S e r v e r 对 于 网 络 传 输 过 程 中 的 鉴 别 信 息 是 加 密 的 ， 只 不 过 安 全 性 不 高 。 如 果 要 判 定 为 符 合 ， 应 该 使 用 手 动 配 置 的 证 书 或 者 使 用 I P S e c 。 3 . 6 .   测 评 项 测 评 项 c 总 结 二 总 结 二 对 于 这 个 测 评 项 也 要 从 该 数 据 库 的 使 用 模 式 来 进 行 判 断 （ 以 下 是 个 人 理 解 ） 。 比 如 中 间 件 和 数 据 库 处 于 同 一 台 服 务 器 A 上 ， 客 户 端 或 者 浏 览 器 不 会 直 连 数 据 ， 而 是 发 送 请 求 到 h t t p 接 口 到 A ， A 再 连 接 处 于 本 地 的 数 据 库 获 取 数 据 ， 未 发 生 过 数 据 库 鉴 别 信 息 的 网 络 传 输 ， 那 么 这 个 测 评 项 应 判 定 为 不 适 用 或 者 符 合 。 又 或 者 中 间 件 所 在 服 务 器 A 和 数 据 库 所 在 服 务 器 B 处 于 同 一 内 网 中 ， 服 务 器 A 接 收 到 请 求 后 ， 发 送 数 据 库 的 鉴 别 信 息 到 服 务 器 B ， 外 网 的 设 备 比 较 难 获 取 到 鉴 别 信 息 （ 更 别 说 鉴 别 信 息 也 不 是 明 文 传 输 的 ） ， 应 该 判 定 为 部 分 符 合 或 者 符 合 。 又 或 者 ， 虽 然 数 据 库 本 身 没 有 进 行 什 么 配 置 ， 但 是 客 户 端 是 直 连 数 据 库 的 （ 某 一 些 C / S 架 构 的 软 件 确 实 会 这 样 ） ， 但 是 客 户 端 使 用 了 S S L 等 协 议 进 行 了 网 络 传 输 数 据 的 加 密 ， 那 么 也 应 该 是 部 分 符 合 或 者 符 合 。 好 吧 ， 由 于 等 级 保 护 2 . 0 去 掉 了 0 - 5 分 的 分 数 制 ， 所 以 虽 然 有 很 多 种 情 况 ， 但 是 判 定 结 果 只 有 符 合 、 部 分 符 合 、 不 符 合 、 不 适 用 ， 所 以 区 分 得 这 么 细 在 判 定 结 果 处 差 别 不 大 。 但 是 ， 在 结 果 记 录 处 还 是 有 区 别 的 ， 要 根 据 实 际 情 况 进 行 记 录 嘛 。 哦 ， 对 了 ， 最 后 说 一 句 ， 要 记 得 查 看 S Q L S e r v e r 的 版 本 ， 默 认 加 密 是 从 2 0 0 5 版 开 始 的 。 四 、 测 评 项 四 、 测 评 项 d d ) 应 采 用 口 令 、 密 码 技 术 、 生 物 技 术 等 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 对 用 户 进 行 身 份 鉴 别 ， 且 其 中 一 种 鉴 别 技 术 至 少 应 使 用 密 码 技 术 来 实 现 。 好 吧 ， 直 接 实 现 S Q L S e r v e r 数 据 库 双 因 素 认 证 的 方 法 我 没 找 到 ， 顶 多 也 就 是 可 以 使 用 证 书 对 存 储 过 程 进 行 访 问 控 制 ： 使 用 证 书 为 存 储 过 程 签 名 。 绝 大 部 分 的 被 测 评 单 位 在 S Q L S e r v e r 数 据 库 的 这 一 个 测 评 项 处 ， 只 能 得 0 分 ， 不 过 也 不 用 过 于 在 意 。
该 测 评 项 属 于 安 全 计 算 环 境 这 个 安 全 类 ， 其 测 评 对 象 包 括 了 数 据 库 、 服 务 器 和 终 端 的 操 作 系 统 、 应 用 系 统 、 安 全 设 备 、 网 络 设 备 等 等 ， 按 照 等 级 保 护 2 . 0 的 标 准 ， 对 于 3 级 和 以 上 的 系 统 ， 只 要 其 中 一 个 设 备 在 该 测 评 项 处 得 0 分 ， 那 么 就 可 能 属 于 高 风 险 项 ， 测 评 结 论 瞬 间 就 变 成 差 了 。 从 现 实 的 角 度 而 言 ， 这 么 多 设 备 统 统 都 要 实 现 双 因 素 认 证 ， 既 无 可 能 ， 也 没 必 要 。 所 以 制 定 等 级 保 护 标 准 的 专 家 们 考 虑 到 这 一 点 ， 在 网 络 安 全 等 级 保 护 测 评 高 风 险 判 定 指 引 （ 2 0 1 9 定 稿 ） 中 留 下 了 很 多 的 口 子 （ 个 人 理 解 ） 。 举 个 例 子 ， 对 于 该 测 评 项 而 言 ： 满 足 条 件 中 指 明 ， 属 于 3 级 和 3 级 以 上 系 统 ， 且 被 测 评 对 象 属 于 重 要 核 心 设 备 等 通 过 不 可 控 网 络 环 境 远 程 进 行 管 理 ， 然 后 同 时 未 实 现 双 因 素 认 证 的 ， 可 判 定 为 高 风 险 项 。 分 析 一 下 ， 3 级 和 3 级 以 上 系 统 这 个 条 件 不 用 多 说 ， 3 级 以 下 系 统 不 存 在 这 个 测 评 项 。 被 测 评 项 对 象 属 于 重 要 核 心 设 备 ， 这 个 也 不 用 多 说 ， 被 抽 选 出 来 的 测 评 项 对 象 ， 其 重 要 性 一 般 都 不 低 （ 否 则 你 选 它 干 嘛 ） 。 通 过 不 可 控 网 络 环 境 远 程 进 行 管 理 ， 这 个 有 些 用 ， 对 于 数 据 库 ， 不 一 定 存 在 远 程 连 接 的 行 为 ， 这 一 点 我 上 面 的 文 章 有
说 。 就 算 存 在 远 程 连 接 的 行 为 ， 是 否 就 处 于 不 可 控 网 络 环 境 呢 ？ 也 不 一 定 的 。 注 意 ， 不 可 控 网 络 在 判 定 指 引 中 有 明 确 定 义 ： 到 这 里 ， 就 算 条 件 都 满 足 了 ， 属 于 高 风 险 项 ， 也 存 在 很 多 的 补 偿 措 施 ， 对 该 高 风 险 项 目 进 行 修 正 ， 这 些 补 偿 措 施 都 是 现 实 可 行 的 ， 绝 不 是 无 法 实 行 的 ， 这 里 就 不 具 体 的 分 析 了 。 总 而 言 之 ， 虽 然 高 风 险 项 存 在 着 一 票 否 决 的 特 性 ， 但 需 要 满 足 特 定 条 件 且 不 能 被 修 正 。 在 实 际 工 作 中 ， 给 测 评 师 们 降 低 了 实 施 的 难 度 ， 也 减 少 了 和 被 测 评 单 位 扯 皮 的 概 率 ， 也 算 是 等 级 保 护 2 . 0 的 一 种 进 步 吧 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： 起 于 凡 而 非 于 凡 ， 本 文 属 于 起 于 凡 而 非 于 凡 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:24 , Processed in 0.469496 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表