ЛУЧШИХ ВИРУСОВ - Xakep Online

pc_zone
info
• Не забывай о
самых простых истинах
традиционной
криптографии:
• Чем более накручен
алгоритм шифрования,
тем больше
ресурсов процессора
он будет кушать;
• Ассиметричная
криптография
обеспечивает более
надежную защиту,
чем симметричная
(даже с ключами
одинаковой длины),
но ее исполнение в
базах может ощутимо
замедлить весь процесс
работы;
Вместо кода процедуры — сплошные знаки вопроса. Взломщик в обломе
• Действия по
шифрованию базы
напрямую связаны
с модификацией
обращений клиента.
Увы, возможность
«прозрачного»
шифрования базы на
сегодняшний день
существует только в
MSSQL 2008 (в версии
Enterprise). Эта
функция именуется
там TDE (Transparant
Database Encryption).
процедур или функций. Получается, что, получив к ним
доступ и грамотно проанализировав их код, любой
опытный хакер сможет преобразовать шифрованную
белиберду в исходный текст. Конечно, добраться до
кода процедур далеко не всегда реально, потому здесь
всплывает вопрос об утечке программной начинки
производства, а именно — логике ПО. Но именно по
этой причине необходимо прибегать к шифрованию
процедур и функций в базе. Одно из самых популярных
и удачных средств для таких действий — это программа
SQL Shield (www.sql-shield.com). После несложной
установки приложения не забудь указывать дополнительный
флаг /*sqlshield*/ с выражением «WITH
ENCRYPTION» всякий раз, когда будешь создавать
защищенную процедуру. Вот пример функции, которая
исполняет простейший запрос к базе:
CREATE PROCEDURE MyTest
WITH /*sqlshield*/ ENCRYPTION
AS
SELECT 2+2
Исполняем процедуру и получаем:
MyTest
> 4
Проверим, в каком виде хранится процедура, с помощью
специального средства для ковыряния в файлах базы.
Подойдет SQL Server Syscomments Decryptor (www.
geocities.com/d0mn4r/dSQLSRVD.html), который при
отображении текста процедуры показывает одни лишь
знаки вопроса. Все работает!
Ïðèìåð èç ëè÷íîãî îïûòà
Ñîòðóäíèêàìè îäíîé êîìïàíèè ïëàòåæíî-êàðòî÷íîãî ñåêòîðà âåëàñü áàçà äàííûõ äëÿ âûäà÷è çàðïëàò. Äëÿ ïðîñòîãî
ïîíèìàíèÿ, — ïóñòü ýòî áóäåò ïðèìåðíî ñëåäóþùàÿ ñòðóêòóðà:
warning
Использование
функций шифрования
SQL Server
совместно
с параметром
ANSI_PADDING
OFF может привести
к потере данных
из-за неявных
преобразований!
034
ID LastName FirstName Emp Sum
354 Somov Oleg IT-Manager M0x8900f56543
643 Antipova Alexandra Director 4343Lax#dsdsss
411 Timurov Valeriy Technical Dep. 0x2322322222
Âûáîðêó èç áàçû ÿ ïðèâåë àáñîëþòíî ïðîèçâîëüíóþ, à òåïåðü ñóòü èäåè. «Áåçîïàñíèêàìè» êîìïàíèè áûëî ïðèíÿòî
âïîëíå áëàãîðîäíîå ðåøåíèå — øèôðîâàòü äàííûå î çàðïëàòàõ, êîòîðûå î÷åíü ÷àñòî áûâàþò «ñåðûìè». Èíñàéäåð
ïîëó÷èë äîñòóï ê áàçå è ñèëüíî îáëîìàëñÿ, çàèìåâ èíôîðìàöèþ â òàêîì âèäå. Îäíàêî, îí íå îò÷àÿëñÿ è ïðîäåëàë
ñëåäóþùèé ôîêóñ. Ðåçîííî ïðåäïîëîæèâ, ÷òî ÷åëîâåê ñ äîëæíîñòüþ äèðåêòîðà äîëæåí ïîëó÷àòü áîëüøå, ÷åì ïðîñòîé
ìåíåäæåð, îí ïîìåíÿë ñîîòâåòñòâóþùèå ïîëÿ ñî çíà÷åíèÿìè çàðïëàò îäíî íà äðóãîå, òåì ñàìûì — ïîäëîæèâ áóõãàëòåðñêîìó
îòäåëó àáñîëþòíî ëåâóþ èíôîðìàöèþ.  áëàãîïîëó÷íûé äåíü òàêàÿ âåùü ïðîêàòèëà, è âñå áåçîïàñíèêè
áûëè óâîëåíû. Äëÿ ñïðàâêè: ýòèì ñîòðóäíèêîì áûë íå ÿ, êàê âïðî÷åì, è íå áåçîïàñíèêîì.
XÀÊÅÐ 04 /124/ 09