Delphi & MySQL: Защита данных, Безопасность - БД в Delphi

andrey.vadimovich · 30.08.2012, 20:56

Здравствуйте.

Есть база данных MySQL локальном компьютере.
Есть обязательная операция - это дамп базы данных каждый час (для минимальных потерь при сбое).

Делаю сейчас дамп таким образом:
1. Дельфи вызывает запуск командной строки с параметрами mysqldump --user=root --password=pass > dumpXXXXXX.sql

где ХХХХХ - время создания.

2. Далее из той же командной строки вызывается винрар и архивирует этот дамп с паролем, а сам файл затирает рандомными данными и потом стирает.

Так вот во всей этой системе есть 2 серьёзнейших недостатка:
1. Промежуточный файл, который ни чем не запаролен.
2. Можно просто подменить файл winrar.exe, который паролит и удаляет дамп, и асе данные станут доступными.

Теперь вопрос: как это обойти и еще какие есть слабые места, а то инфа ну оч. секретная и важная????

artemavd · 31.08.2012, 06:58

А можно ли делать dump базы в переменную типа TStringList? Если да, то, например, можно использовать компонент ZipForce и его помощью архивировать содержимое этой переменной в архив с паролем. Я бы так сделал. Если при условии если можно так делать с дампом базы.

_SERGEYX_ · 31.08.2012, 09:27

Цитата:

Можно просто подменить файл winrar.exe

Если уж кто-то получил доступ к этому компьютеру, зачем ему подменять winrar.exe, если он может просто скопировать всю базу на флешку?

Yurk@ · 31.08.2012, 10:26

да и если инфа така секретная и важная - с какого перепугу на этом компе будут люди которые могут что-то подменить? (кроме админа ессно)

andrey.vadimovich · 31.08.2012, 11:24

да может быть и так, но хочу просто обезопасить такие просто детские дыры, а про подмену - ну не возможно сделать все так безопасно, в случае с админом - и его можно подкупить!

astecenko · 31.08.2012, 12:45

Вы сами себе проблемы придумываете, если у злоумышленника (тем более если это будет подкупленный админ) будет физический доступ к ПК на котором стоит СУБД он просто скопирует физически файлы Вашей БД и всё. Затем скопирует их в свою СУБД и получит доступ к данным. То бишь от воровства данных это не спасёт.
Как вариант - выбрать другую СУБД...

andrey.vadimovich · 31.08.2012, 13:33

Может и так.
Но кроме как читать дамп в память и потом потоком архивировать я ничего и не услышал.

30.08.2012, 20:56	#1
andrey.vadimovich Регистрация: 28.04.2009 Сообщений: 9	Delphi & MySQL: Защита данных, Безопасность Здравствуйте. Есть база данных MySQL локальном компьютере. Есть обязательная операция - это дамп базы данных каждый час (для минимальных потерь при сбое). Делаю сейчас дамп таким образом: 1. Дельфи вызывает запуск командной строки с параметрами mysqldump --user=root --password=pass > dumpXXXXXX.sql где ХХХХХ - время создания. 2. Далее из той же командной строки вызывается винрар и архивирует этот дамп с паролем, а сам файл затирает рандомными данными и потом стирает. Так вот во всей этой системе есть 2 серьёзнейших недостатка: 1. Промежуточный файл, который ни чем не запаролен. 2. Можно просто подменить файл winrar.exe, который паролит и удаляет дамп, и асе данные станут доступными. Теперь вопрос: как это обойти и еще какие есть слабые места, а то инфа ну оч. секретная и важная????

31.08.2012, 06:58	#2
artemavd Старожил Регистрация: 05.06.2008 Сообщений: 4,206	А можно ли делать dump базы в переменную типа TStringList? Если да, то, например, можно использовать компонент ZipForce и его помощью архивировать содержимое этой переменной в архив с паролем. Я бы так сделал. Если при условии если можно так делать с дампом базы. Не стоит смеяться над человеком делающим шаг назад, возможно он делает разбег.

31.08.2012, 10:26	#4
Yurk@ Участник клуба Регистрация: 19.12.2007 Сообщений: 1,100	да и если инфа така секретная и важная - с какого перепугу на этом компе будут люди которые могут что-то подменить? (кроме админа ессно) На форуме: Помогаю за спасибо ICQ\Skype: Это моё личное время ...

Похожие темы
Тема	Автор	Раздел	Ответов	Последнее сообщение
mysql Injection / Безопасность ?!	pompiduskus	SQL, базы данных	10	02.05.2012 01:29
статья - Безопасность PHP. Проверка поступивших данных	Pblog	Обсуждение статей	0	27.02.2011 22:44
База данных SQL&Delphi 5	Chaos_21	БД в Delphi	2	10.02.2011 11:11

31.08.2012, 11:24	#5
andrey.vadimovich Регистрация: 28.04.2009 Сообщений: 9	да может быть и так, но хочу просто обезопасить такие просто детские дыры, а про подмену - ну не возможно сделать все так безопасно, в случае с админом - и его можно подкупить!

31.08.2012, 12:45	#6
astecenko Homo Interneticus Форумчанин Регистрация: 04.03.2011 Сообщений: 611	Вы сами себе проблемы придумываете, если у злоумышленника (тем более если это будет подкупленный админ) будет физический доступ к ПК на котором стоит СУБД он просто скопирует физически файлы Вашей БД и всё. Затем скопирует их в свою СУБД и получит доступ к данным. То бишь от воровства данных это не спасёт. Как вариант - выбрать другую СУБД...

31.08.2012, 13:33	#7
andrey.vadimovich Регистрация: 28.04.2009 Сообщений: 9	Может и так. Но кроме как читать дамп в память и потом потоком архивировать я ничего и не услышал.