Wireshark muestra llamadas de sql - Prevención

3

Así que estaba analizando una nueva aplicación que se está escribiendo. Noté que en el nivel del servidor de aplicaciones hay llamadas de SQL que se están realizando desde el código C #. Estas llamadas se pueden ver en wireshark siguiendo la secuencia TCP desde mi máquina.

¿Hay alguna manera de evitar que un MITM vea esto? Las llamadas parecen algo así después de que Wirehark lo reconstruya:

S.E.L.E.C.T. .V.A.R. .F.R.O.M. .T.A.B.L.E...

No estoy seguro de que se estén utilizando los protocolos, pero es evidente que el hecho de poder ver las llamadas de SQL simples con nombres de variables y nombres de tablas es un problema.

    
pregunta Anthony Russell 13.08.2014 - 19:48
fuente

2 respuestas

4

Este es un problema de configuración con la base de datos. La mayoría de las bases de datos modernas ofrecen cifrado de transporte, aunque muchas no están habilitadas de forma predeterminada.

Aquí hay algunos enlaces para configurar SSL en bases de datos SQL populares:

6.3.6 Uso de SSL para conexiones seguras

Cómo habilitar el cifrado SSL para una instancia de SQL Server mediante el uso de Microsoft Management Console

    
respondido por el David Houde 13.08.2014 - 19:55
fuente
1

Las comunicaciones entre la aplicación y su base de datos no están protegidas. Si tanto la base de datos como la aplicación están en la misma máquina, esto no es un problema: las personas que pueden curiosear en las conexiones TCP locales también tienen privilegios administrativos extendidos en esa máquina, y por lo tanto ya han ganado.

Si, por otro lado, la máquina que ejecuta la aplicación y la máquina que aloja la base de datos son distintas, entonces debe agregar alguna capa de protección. Por lo general, usted configuraría SSL, como lo indica @DavidHoude en su respuesta. Métodos alternativos:

  • Instale alguna VPN entre el servidor de aplicaciones y el host de la base de datos. Una VPN protegerá todas las comunicaciones entre estas dos máquinas, a nivel del sistema operativo. Dado que ni la aplicación ni la base de datos necesitan conocer esa protección, esto puede ser más sencillo de instalar en su situación. IPsec debe ser compatible de forma nativa con su sistema operativo; o puede usar un producto dedicado como OpenVPN .

  • Use protección física: vincule el servidor de aplicaciones y la base de datos con un cable Ethernet directo (sin interruptor, sin hub, solo un enlace directo) y asegúrese de que no haya personas malvadas que puedan acercarse físicamente a ese cable.

respondido por el Thomas Pornin 13.08.2014 - 20:00
fuente

Lea otras preguntas en las etiquetas