Social Icons

понедельник, 1 февраля 2010 г.

Доктор Боб приходит к выводу, что системы безопасности в DataSnap 2010 не существует

Я уже сокрушался по поводу системы безопасности (или лучше, ее отсутствия) в Datasnap 2010. Обычно мне говорили, что я не прав и в любом случае для нее можно использовать те же фильтры. Теперь Боб Сворт (Bob Swart), написавший руководство по Datasnap в Delphi 2010, создал две темы на QC по поводу безопасности Datasnap. Первая - поддержка HTTPS, вторая - серьезная потеря производительности при использовании фильтров.

Соглашусь, что раз есть поддержка HTTP нет смысла не реализовывать поддержку HTTPS (помните, что здесь роль первой скрипки играет Indy), но почему не добавить поддержку SSL для TCP-соединений? Известно, что SSL никак не связан с HTTP. Это более широкое понятие - TSL также позволяет использовать один и тот же порт для зашифрованного и незашифрованного соединений. Я, кстати, предпочитаю TCP в LAN-приложениях, где можно не считаться с ограничениями HTTP.

Нужно ли оставить только SSL? Конечно нет, SSL имеет недостаток в виде необходимости создания сертификата, его распространения и модификации. Вам необходимо определить политику сертификации, создать списки аннулированных и выданных сертификатов. Действительно, в домене Active Directory большинство этих действий автоматизировано, но в Delphi отсутствует библиотека для работы с Windows CryptoAPI и хранилищами сертификатов. Хранить .crt-файл в папке приложения - не самый лучший способ, особенно при наличии закрытого ключа - внутренние угрозы ничем не отличаются от внешних.

Когда приложение запущено в домене AD, существуют более надежные способы для защиты канала связи: определять узлы соединения, и позволять подключение без сертификатов, например, с помощью самой AD и Kerberos. Использование версии Active Directory для приложений в Windows Server 2003 или служб облегченного доступа к каталогам Active Directory может дать преимущество на автономных серверах или в специальных случаях, не затрагивая при этом всю схему Active Directory.

Конечно, это не конец, поэтому я считаю, что BorCodeDero даже не думает об этом - и я не уверен, что они когда-либо слышали о ADAM или AD LDS - т.е. те, кто создавали Datasnap 200x никогда не слышали о безопасности.

http://www.sandon.it/?q=node/52

1 комментарий:

  1. Изменилось-ли что-то по проблеме Windows-аутентификации DataSnap в лучшую сторону с 2010 года?

    ОтветитьУдалить

Поделитесь с друзьями!

 

Подписчики

Статистика