چگونه ديتابيس خود را ايمن كنيم

[amirzazadeh]

زمانيكه شما يك ديتابيس ايجاد ميكنيد سه اشتباه عمده باعث دسترسي كاربران به سطوح امنيتي بانك شما ميگردد
شما بانك اطلاعاتي خود را زماني ايجاد ميكنيد كه به عنوان ادمين وارد سيستم شده ايد(كاربر پيش فرض سيستم)
نكته دوم اينكه شما دسترسي پيش فرض گروههاي موجود را برنداشته ايد
و آخرين نكته اينكه نسخه نهايي برنامه شما شامل همان فايل ورك گروپ(system.mdw) پيش فرض سيستم مي باشد كه در آن كاربر ادمين پسوردي نداشته و عضو گروه admins مي باشد.

به منظور حفاظت بانك خود از اعمال تغييرات مراحل زير را دنبال نماييد:
1-نرم افزار اكسس را اجرا نموده از منوي tools گزينه security و بعد workgroup administrator را انتخاب نماييد.در فرم باز شده گزينه create را انتخاب نموده و در فرم بعدي workgroup id را وارد نماييد گزينه اول ودوم به طور خودكار پرميگردد هر چند كه شما ميتوانيد آنها را نيز تغيير دهيد (اين اطلاعات را يادداشت نموده و در جاي مطمئني نگهداري نماييد) سپس دگمه ok را2بار انتخاب نماييد. سپس برنامه را ببنديد
2- اكسس را اجرا نموده يك بانك موجود از قبل را باز نماييد.
3-از منوي tools گزينه security و بعد user and group account را باز نماييد. تبchange logon password را انتخاب و پسوردي براي كاربر ادمين انتخاب و دكمه apply را فشار دهيد.
4-در قسمت user and group account تب users را انتخاب نماييد.سپس يوزر جديدي با نام دلخواه ايجاد و انرا به گروه admins اضافه نماييد.(يوزر جديد متعلق به دوگروه adminsو users خواهد بود).
5-در باكسuser and group account از كامبو name گزينه admin را انتخاب و گروه admins را از گروه هاي آن حذف نماييد (بنابراين در اين حالت يوزر ادمين تنها به گروه users تعلق خواهد داشت.)سپس دكمه ok را فشار دهيد.
6-از منو فايل گزينه exit را انتخاب نموده و برنامه راببنديد
ادامه دارد....

[amirzazadeh]

در 6قسمت قبل ابتدا يك ورك گروپ جديد ايجاد نموده و سپس يك كاربر جديد با امكانات گروه admins ايجاد نموديم و سپس يوزر admin سيستم را از گروه admins حذف كرده وبه يك كارير عادي تيديل نموديم و اينك ادامه روند ايمن سازي :
7- نرم افزار اكسس را اجرا نموده و يك ديتا بيس جديد و خالي ايجاد نماييد و دكمه ok را فشار دهيد. در اين زمان صفحه ورودي ظاهر خواهد شد.
8-در صفحه ورودي به جاي name نام كاربري را كه در مراحل قبل ايجاد نموده ايد وارد نموده و باكس پسورد را خالي بگذاريد.
9-از منوي tools گزينه security و بعد user and group account را باز نماييد
10-تبchange logon password را انتخاب و پسوردي براي كاربر جديد انتخاب و دكمه ok را فشار دهيد.
11-از منوي tools گزينه security و بعد user and group permissions را باز نماييد سپس تب permissions كليك كرده و راديو باتن groups را انتخاب نماييد.
12- حال در باكس user/group name گروه users را انتخاب نموده سپس از كمبو object type ابجكت ها را انتخاب نموده و تيك مجوزهاي پيش فرض را برداريد(نكته:با حذف تيك read/design بقيه تيك ها نيز برداشته خواهد شد)
13-حال تمامي ابجكت هاي ديتابيسي را كه ميخواهيد ايمن نماييد به داخل اين ديتابيس ايمپورت نماييد(از منوي فايل گزينه get external data و سپس imoprt را انتخاب نماييد و بعد مسير ديتابيس مورد نظر را انتخاب نموده و ابجكت هاي مورد نظر را سلكت و ok كنيد).
14-در صورت نياز گروه كاربري جديد تعريف نماييد(اختياري)
15-مجددا از منوي tools گزينه security و بعد user and group permissions را باز نموده و با انتخاب هر ابجكت مثلا يك جدول يا كوئري پرميشن هاي مورد نظر را براي آن تعريف نماييد)
در اين مرحله كار ايمن سازي به پايان رسيده است.حال چنانچه فردي اقدام به كپي ديتابيس شما بر روي كامپيوتر خودبنمايد چون به صورت پيش فرض با يوزر ادمين وارد بانك اطلاعاتي خواهد شد كه بسته به تنظيمات شمايا اجازه ورود به ديتابيس را نخواهد داشت و يا مجاز به دستكاري در آن نخواهد بود.
............................
موفق باشيد

[nabeel]

سلام amirzazadeh عزیز

اگه براتون امکانش وجود داره پاسخی هر چند کوتاه به این سئوالات داشته باشید

- اطلاعات این سطح دسترسیهای جدید در کجا ذخیره میشن

- در صورتی که این اطلاعات در یک فایل جانبی ذخیره میشن آیا در هنگام ارسال فایل اکسس به روی کامپیوتری دیگه نیازی به ارسال اون فایل جانبی هم وجود داره

- آیا به طور کامل امکان حذف دسترسی Admin در داخل فایل تنظیمات وجود داره

- در صورت حذف این تنظیمات چطور میشه مجدداً در داخل یک فایل Access محدود شده مجدداً دسترسی Admin رو فعال کرد

- شما تا چه حد این امکان رو در جهت جلوگیری از دسترسی غیر مجاز به آبجکتهای Access مفید میدونید

- در هنگام کار با فایلهای Client/Server نحوه عملکرد این گزینه ها به چه صورتیه

ببخشید , سئوالات من خیلی زیاد شد

با سپاس از توجه شما

[amirzazadeh]

با سلام خدمت دوستان عزيز
همونطور كه در ايتداي مبحث اشاره شد اطلاعات مربوط به كارگروهها در فايلي با عنوان پيش فرض system.mdw ذخيره ميشود.
با ايجاد كارگروه جديد شماره اي به انتهاي نام پيش فرض اضافه ميگردد مثل sytem1.mdw البته ناگفته پيداست كه شما ميتونيد كار گروه جديد رو با هر نام دلخواه ولي حتما با اكتنشن mdw ذخيره كنين.
مسير پيش فرض ذخيره هم بسته به نوع افيس متفاونه به عنوان مثال در افيس 2003 در مسير زير ذخيره ميشه:
C:\Documents and Settings\user\Application Data\Microsoft\Access
البته با اين فرض كه ويندوز شما در درايو : c نصب شده باشه به هر حال شما ميتونين كار گروه جديد خود رو در هر محل دلخواه ايجاد كنين.
حال اگر بروي فايل كارگروه ايجاد شده كليك كنيد و پس از باز شدن آن توسط اكسس از طريق منوي tools>option امكان رويت فايلهاي سيستم و مخفي فعال كنيد در قسمت جداول جدولي با نام MSysAccounts مشاهده خواهيد نمود كه كليه گروه ها و كاربران موجود در آن جاي دارند همچنين id منحصر به فرد و پسورد كاربران نيز به صورت كد شده فابل مشاهده است.
همونطور كه انتظار ميره شما قادر به دخل و تصرف در اطلاعات اين جداول نيستيد.بنابراين در صورت انتقال ديتابيس ايمن شده به روي كامپيوتر دوم بايد كارگروه مربوطه يا مجددا ايجاد بشه كه لازمه اون داشتن اطلاعات مربوط به كار گروه مرتبط هست ويا اينكه اين فايل از كامپيوتر مبدا بر روي كامپيوتر مقصد كپي بشه و بعد join بشه.
استفاده از ايمن سازي به همراه كد كردن داده ها امنيت قابل قبولي براي ديتابيس ايجاد ميكنه ولي به هر حال كاربران حرفه اي ميتونند با ترفند هاي خاص خودشون از اين سد عبور كنند.
در مورد سيستم هاي كلاينت/سرور شخصا تجربه اي ندارم كه اميدوارم دوستان صاحب نظر در اين زمينه توضيح بدند.
....................................
موفق باشيد

[mo_lonely]

با سلام خدمت شما دوست عزيز
آيا امكانش هست كه اين كارو تو اكسس2007 هم انجام بديم و اگه ميشه چه طوري بعد من اين كاري كه شما فرمودين انجام دادم حالا ميشه بگين كه چه طوري ميشه ادمين و يوزر را حذف كرد و بانك رو به صورت اولش در آورد

[amirzazadeh]

ميشه بگين كه چه طوري ميشه ادمين و يوزر را حذف كرد و بانك رو به صورت اولش در آورد
دوست عزيز كافيه از منوي tools گزينه work group administrator رو انتخاب و بعد دكمه join را كليك كرده و در صفحه باز شده دكمهBrowse را كليك كرده و نهايتا از فرم باز شده ورك گروپ پيش فرض سيستم با نام Systyem.Mdw رو انتخاب كنيد.
.......................
موفق باشيد

[mo_lonely]

سلام
با تشكر از راهنمايي شما دوست عزيز اگه طلف كنين اين روشو در مورد 2007 هم توضيح بدين ممنون ميشم چون من يه برنامه نوشتم كه تو 2007 هست و كاربران هم همه از 2007 استفاده ميكنن

[amirzazadeh]

سلام
با تشكر از راهنمايي شما دوست عزيز اگه طلف كنين اين روشو در مورد 2007 هم توضيح بدين ممنون ميشم چون من يه برنامه نوشتم كه تو 2007 هست و كاربران هم همه از 2007 استفاده ميكنن

دوست عزيز اكسس 2007مستقيما security را ساپورت نميكنه ولي اگر با اكسس 2003 بانكتون رو ايجاد كنين همچنان در اكسس 2007 ميتونين از اين امكان استفاده كنين.
.............................
موفق باشيد

[amirzazadeh]

با سلام
دوستان در ادامه بحث ايمن سازي براي روشن شدن بهتر مطلب يك نمونه ساده به همراه ورك گروپ مربوطه خدمتون ارائه شده كه شامل سه گروه كاربري هست :
گروه اول Admins با امكان دسترسي به تمامي ابجكت ها (تنها عضو گروه akbar با پسورد 1351)
گروه دوم power با امكان خواندن و مشاهده design(تنها عضو گروه afsar بدون پسورد )
گروه سوم users بدون امكان رويت و باز كردن ديتابيس(عضو گروه admin با پسورد 1350)

در ابتدا ديتا بيس رو مستقيما باز كنيد همانطور كه خواهيد ديد اين امكان به شما داده نخواهد شد چون براي كاربر پيش فرض سيستم َAdmin هيچ دسترسي تعريف نشده.در مرحله بعد ورگ كروپ ارائه شده به همراه ديتا بيس رو در روي كامپيوتر خود كپي نمود و از طريق منوي tools>security>workgroup administrator به آن متصل شويد.(محل كپي فايل ورك گروپ بهتراست در مسير پيش فرض كه در بالا به آن اشاره شد قرار داشته باشد) حال مجددا ديتا بيس را باز نماييد و به ترتيب با يوزرها و پسورد ارائه در سطور فوق وارد برنامه شويد .
پس از بررسي نمونه مجددا به ورك گروپ پيش فرض سيستم متصل شويد .
...................................
موفق باشيد

[hasadianh]

ممنون موفق باشيد
هنوز امتحان نكردم ولي اميدوارم بدردم بخوره

[morynf]

اميرزاده عزيز دوست گرامي
ضمن تشكر از فايلي كه گذاشتيد بعرضتون مي رسونم توي يكي از كامپيوترهاي دوستان وقتي برنامه خودش اجرا مي شد كاربران سيستم با اون رمز وارد مي شدند و برنامه اي كه رمز كاربر نداشت هم بدون سئوال كردن اجرا مي شد در حالي كه برنامه شما را با راهنمايي كه گذاشتيد اجرا كردم ولي هر برنامه اي كه اجرا مي كردم اون رمز رو ازم مي خواست مي شه بگيد اشكال كار كجاست ؟
ممنون و سپاسگزار

[amirzazadeh]

اميرزاده عزيز دوست گرامي
ضمن تشكر از فايلي كه گذاشتيد بعرضتون مي رسونم توي يكي از كامپيوترهاي دوستان وقتي برنامه خودش اجرا مي شد كاربران سيستم با اون رمز وارد مي شدند و برنامه اي كه رمز كاربر نداشت هم بدون سئوال كردن اجرا مي شد در حالي كه برنامه شما را با راهنمايي كه گذاشتيد اجرا كردم ولي هر برنامه اي كه اجرا مي كردم اون رمز رو ازم مي خواست مي شه بگيد اشكال كار كجاست ؟
ممنون و سپاسگزار
دوست عزيز من منظورتون رو درست متوجه نشدم. اگه ممكنه لطفا سئوالتون رو واضح تر بيان كنيد.
..................................
موفق باشيد

[morynf]

با سلام خدمت شما
منظور من اين است كه پس از ست كردن فايل ضميمه برنامه شما هر برنامه ديگري را كه با اكسس باز كنيم اين رمز را براي ورود مي خواهد مثلا رمز اكبر در حاليكه در برنامه هاي ديگري كه نمونه اش را گفتم فقط براي ان برنامه رمز را سئوال مي كند و ساير برنامه ها را شامل نمي شود علت انرا مي خواستم و اينكه مي شود كاري كرد كه فقط براي برنامه ما اين رمز را از كاربران بخواهد و ساير برنامه هاي نوشته شده با اكسس را شامل نشود .
ممنون

[amirzazadeh]

با سلام خدمت شما
منظور من اين است كه پس از ست كردن فايل ضميمه برنامه شما هر برنامه ديگري را كه با اكسس باز كنيم اين رمز را براي ورود مي خواهد مثلا رمز اكبر در حاليكه در برنامه هاي ديگري كه نمونه اش را گفتم فقط براي ان برنامه رمز را سئوال مي كند و ساير برنامه ها را شامل نمي شود علت انرا مي خواستم و اينكه مي شود كاري كرد كه فقط براي برنامه ما اين رمز را از كاربران بخواهد و ساير برنامه هاي نوشته شده با اكسس را شامل نشود .
ممنون

دوست من شايد اين سئوال بقيه دوستان هم باشه .براي اينكه درخواست نام كاربري ورمز ورود مختص برنامه ايمن شده باشه شما (در ابتدا بايد ورك گروپ پيش فرض سيستم رو فعال كنيد يعني به SYSTEM.MDW متصل شويد ) بايد يك شورتكات بر روي دسكتاپ كامپيوترتون براي ديتابيس ايمن شده ايجاد كنيد فرض ميكنيم كه شما ديتابيس مورد نظر و ورك گروپ همراه اونرو در داخل پوشه: C كپي كردين . براي ايجاد شورتكات كافيه بر روي ديتابيس قرار داده شده در درايو :C راست كليك كرده و گرينه SEND TO> DESKTOP رو انتخاب كنيد بعد بر روي شورتكات ايجاد شده در دسكتاپ راست كليك كرده و گزينه آخر يعني PROPERTIES رو انتخاب نماييد سپس TAB دوم يعني SHORTCUT را انتخاب و عبارت داخل باكس TARGET را با اين عبارت جايگزين نماييد:

"%systemdrive%\Program Files\Microsoft Office\OFFICE11\MSACCESS.EXE" "c:\SECURED.mdb" /wrkgrp c:\SECURED.mdwبدين ترتيب با اجراي اين شورتكات فقط براي اين برنامه نام كاربري و پسورد درخواست مي گردد و ساير ديتابيس ها به صورت معمولي بدون پسورد اجرا مي گردد.(عبارت مشخص شده با رنگ قرمز ديتابيس رو با ورك گروپ تعيين شده باز ميكند)
.........................................
موفق باشيد

[nabeel]

ضمن سلام به حضور دوستان

لازم میدونم به چند نکته در خصوص User Level Security اشاره کنم

در تاپیک شماره 3 سئوالهایی رو با ترتیبی خاص و البته با هدفی مشخص مطرح کرده بودم که به بعضی از اونها از طرف دوستمون amirzazadeh عزیز پاسخ داده شد .

نکته ای که همچنان پابرجاست عدم اطمینان کامل به این قابلیت و ضمناً دشواری در اجرای اونه ( خصوصاً درهنگام توزیع نسخ بر روی کلاینتهای مختلف )

امری که استفاده از این قابلیت رو با شک و تردید مواجه میکنه , این نکته هستش که این قابلیت تنها به عنوان یک دیواره حفاظتی پر در درسر ( چه در مرحله اجرا و چه در مرحله عبور از اون , البته بیشتر در مرحله اجرا با نسبت 80 به 20 ) مطرحه و کمتر مورد استفاده قرار میگیره و در آفیس 2007 با رویکردی دگرگونه به اون نگاه شده .

در واقع Microsoft یک خونه تکونی واقعی رو در این رابطه به انجام رسونده و به نوعی عطای این پیر خسته رو به لقاش بخشیده .

عبور از سد نه چندان قدرتمند اون برای یک کاربر متوسط به بالا که بدونه از چه ابزاری استفاده کنه و چه مراحلی رو باید طی کنه , زمان چندانی رو طلب نمیکنه .

مجدداً یادآوری میکنم تا سری به سایت Elcomsoft (http://www.elcomsoft.com)بزنید تا با مجموعه ای از ابزارها مواجه بشید که بسیاری از دیتابیسها رو مورد حمله قرار میدن ( اکسس هم یکی از اون قربانیهاست )

استفاده ترکیبی از ابزارهای موجود در بازار میتونه این طفل گریز پای Microsoft رو هم , اگه لازم بشه جمعه به مدرسه بیاره !

اگه میخواید از User Level Security استفاده کنید که کسی اطلاعات موجود در داخل برنامتون رو به صورت غیر مجاز مورد استفاده قرار نده !! کلاً از اون صرف نظر کنید . در خصوص بقیه آبجکتها هم که وضعیت روشنه .

تنها راه ایمن جهت جلوگیری از استفاده دیگران از اطلاعات , رمز نگاری اونهاست و بس که البته اونهم جای بحث داره و در صورت عدم رعایت شرایط لازم میتونه کارایی برنامه رو تا حد زیادی پایین بیاره .

توضیح : بزرگترین نقیصه User Level Security در اینه که اطلاعات تنظیمات خودش رو در داخل همون فایل نگهداری میکنه .
یکی از بزرگترین تغییراتی که مایکروسافت در زمینه برقراری امنیت در نسخه 2007 به انجام رسونده عدم نگهداری رمزهای عبور به شیوه گذشته در دیتابیسه , تا امکان Decrypt اونها از طریق Brute force به راحتی گذشته وجود نداشته باشه

توضیح : Brute Force به طور خلاصه روشی هستش که از طریق تست و خطا میشه به ماهیت رمز عبور پی برد

اینها توصیه هایی بود که به نظرم رسید مطرح کنم تا با دیدی روشنتر در استفاده و یا عدم استفاده از این قابلیت گام بردارید .

موفق باشید

[sami56]

سلام
این سایت ELCOMSOFT با اون روش Brute force و کارتهای گرافیک nvidia (مدلهای خاص وجدیدشون) پدر هرچی پسورده رو در آورده.
از توان GPU کارت گرافیگ برای بالا بردن سرعت و جستوجو در دایره المعارف پسورد وکلمات استفاده میکنه
یه سر به سایتش بزنید ضرر نمیکنید!!!

[mojtabashayesteh]

با سلام خدمت دوستان عزيز
همونطور كه در ايتداي مبحث اشاره شد اطلاعات مربوط به كارگروهها در فايلي با عنوان پيش فرض system.mdw ذخيره ميشود.
با ايجاد كارگروه جديد شماره اي به انتهاي نام پيش فرض اضافه ميگردد مثل sytem1.mdw البته ناگفته پيداست كه شما ميتونيد كار گروه جديد رو با هر نام دلخواه ولي حتما با اكتنشن mdw ذخيره كنين.
مسير پيش فرض ذخيره هم بسته به نوع افيس متفاونه به عنوان مثال در افيس 2003 در مسير زير ذخيره ميشه:
C:\Documents and Settings\user\Application Data\Microsoft\Access
البته با اين فرض كه ويندوز شما در درايو : c نصب شده باشه به هر حال شما ميتونين كار گروه جديد خود رو در هر محل دلخواه ايجاد كنين.
حال اگر بروي فايل كارگروه ايجاد شده كليك كنيد و پس از باز شدن آن توسط اكسس از طريق منوي tools>option امكان رويت فايلهاي سيستم و مخفي فعال كنيد در قسمت جداول جدولي با نام MSysAccounts مشاهده خواهيد نمود كه كليه گروه ها و كاربران موجود در آن جاي دارند همچنين id منحصر به فرد و پسورد كاربران نيز به صورت كد شده فابل مشاهده است.
همونطور كه انتظار ميره شما قادر به دخل و تصرف در اطلاعات اين جداول نيستيد.بنابراين در صورت انتقال ديتابيس ايمن شده به روي كامپيوتر دوم بايد كارگروه مربوطه يا مجددا ايجاد بشه كه لازمه اون داشتن اطلاعات مربوط به كار گروه مرتبط هست ويا اينكه اين فايل از كامپيوتر مبدا بر روي كامپيوتر مقصد كپي بشه و بعد join بشه.
استفاده از ايمن سازي به همراه كد كردن داده ها امنيت قابل قبولي براي ديتابيس ايجاد ميكنه ولي به هر حال كاربران حرفه اي ميتونند با ترفند هاي خاص خودشون از اين سد عبور كنند.
در مورد سيستم هاي كلاينت/سرور شخصا تجربه اي ندارم كه اميدوارم دوستان صاحب نظر در اين زمينه توضيح بدند.
....................................
موفق باشيد

دوستان عزیز و استادان گرامی خواهش میکنم کمک کنید .
بنده یه برنامه کارتیست انبارداری نوشتم و برای سه تا کاربر یوز و پسورد جدا گذاشتم و یک پسورد هم برای ادمین گذاشتم تا بتونم در مواقع خاص وارد disign view بشم و تغییرات رو اعمال کنم . چند روز پیش متاسفانه فایل security mdw را پاک کردم والان وقتی میخوام وارد برنامه بشم یا یکی از tableها رو دباز دکنم با ارور you cant open table you must administer permissions یا برای تغییر سطح دسترسی وقتی از گزینه tools و optiion وارد security میشم پیغام you cant chang permissions for table the change permission for this object you must have administer permission for it
حالا کلی هم اطلاعات انبار داخل اون هست و متاسفانه چند روزه محل کارم بشدت فشار میاره که مشکلو حل کنم اما نمیشه . تورو خدا دکمک کنیدhttp://forum.p30world.com/images/New-Smile3/28.gif
130312

130313

[mojtabashayesteh]

دوستان عزیز و استادان گرامی خواهش میکنم کمک کنید .
بنده یه برنامه کارتیست انبارداری نوشتم و برای سه تا کاربر یوز و پسورد جدا گذاشتم و یک پسورد هم برای ادمین گذاشتم تا بتونم در مواقع خاص وارد disign view بشم و تغییرات رو اعمال کنم . چند روز پیش متاسفانه فایل security mdw را پاک کردم والان وقتی میخوام وارد برنامه بشم یا یکی از tableها رو دباز دکنم با ارور you cant open table you must administer permissions یا برای تغییر سطح دسترسی وقتی از گزینه tools و optiion وارد security میشم پیغام you cant chang permissions for table the change permission for this object you must have administer permission for it
حالا کلی هم اطلاعات انبار داخل اون هست و متاسفانه چند روزه محل کارم بشدت فشار میاره که مشکلو حل کنم اما نمیشه . تورو خدا دکمک کنیدhttp://forum.p30world.com/images/New-Smile3/28.gif
130312

130313

دوستان کسی نیست کمک کنه؟