امنیت Database

[mehdi58]

سلام
من ابتدا مقاله آغاز به کار SQL-SERVER 2000 در ASP.NET آقای نصیری رو مطالعه کردم و دقیقا همه کارهایی که گفته شده بود رو انجام دادم و موقع برنامه نویسی و ارتباط با DB هم مشکلی نداشتم اما چند تا سوال واسم پیش اومده!!!
سوال اول)
server=localhost; uid=myLogin; pwd=123456; database=DbDotNet; Connect Timeout=30
با توجه به Connection string فوق آیا ذکر کلمه عبور مشکلی رو ایجاد نمی کنه؟؟؟

سوال دوم)
آیا با این روش Database روی سرور در امانه؟؟؟
با این روش کاربرهای مجازی که خودمون این دسترسی رو بهشون دادیم می تونن با این مجوز به Database دسترسی داشته باشن اما تکلیف Database روی سرور چی میشه؟؟؟
من این سوال رو به این خاطر مطرح می کنم چون دارم یه پروژه واسه شرکتمون می سازم و قراره در اینترانت شرکت مورد استفاده قرار بگیره.
حالا می خوام بدونم تکلیف Database روی سرور چی میشه؟
نمیشه که مجوز Sa را پاک کرد پس اگه کسی بتونه به سرور دسترسی پیدا کنه اون وقت چی؟؟؟

از این اینکه وقت گذاشتین واسه خوندن این تاپیک متشکرم.

[manager]

سوال اول : چاره ای نداری (مگر اینکه از Windows Authentication استفاده کنی که قابل استفاده نیست یا حداقل من ندیدم تا به حال کسی استفاده کنه) ...
سوال دوم : توکل به خدا (همه دارند از این روش استفاده می کنن و تا حالا که در امان خدا بودند) ...

اما این قضایا مال Internet بود نه Intranet بله در جواب سوال اولتون باید بگم شما می تونید از Windows Authentication استفاده کنید که ایمن تره !!!.. و در جواب سوال دومتون باید بگم خیالتون از بابت سرور راحت باشه چون هر کی هر کی نسیت هر کس اومد تو سرور پس به همه چیز دسترسی داشته باشه !!! فقط مدیر سیستم اون هم در صورتی که Sql Server برای کار با Windows Account ها تنظیم شده باشد.
خوب مدیر سیستم می تونه Accout هائی رو تنظیم کنه که فقط اونها به DB دسترسی داشته باشند.
خیالتون راحت باشه !!!!! اون هم وقتی سایت داخل یه اینترانته !!!

[iekrang]

خطر تزریق دستورات SQL مورد نظر به Application شما همیشه وجود داره.پس در مورد sql injection یه سرچی بفرمایید.

[mehdi58]

با تشکر
در مورد SQL INJECTION رعایت نکات ایمنی رو کردم.
اما دوست عزیز آقای MANAGER
من تنظیمات SQLSERVER ام رو ی حالت MIXED MODE هست ، میشه یه کم بیشتر توضیح بدی!!!

[manager]

باز هم مشکلی نیست می تونید برای sa یه خورده security رو بالا ببرید مثلا یه Password خوب براش در نظر بگیرید البته برای تنظیمات بیشتر امنیتی Sql Server بهتره از بچه های Sql بپرسید..

موفق باشید

[mehdi58]

دوست عزیز آقای Manager
من میخوام بدونم که آیا مثلا مدیر شبکه میتونه با ورود به سرور و مراجعه به Enterpriser manager به دیتا بیس موجود دسترسی پیدا کنه یا خیر؟؟
اگه میشه ، چطوری باید این کار رو کرد؟

[mehdi58]

سلام
جوابشو پیدا کردم.
باید وارد Enterprise manager بشیم و با رایت کلیک روی SQLSERVER گزینه
Edit sqlserver registration properties رو انتخاب کنیم بعد هم گزینه
Use sql server authentication رو انتخاب کرده و یکی از لاگینهای موجود رو به عنوان مجوز براش در نظر بگیریم.
البته چک باکس مربوط به گزینه Always prompt for login name and passwordرو هم فعال کنیم.

[manager]

این کار رو از هر جای دنیا می تونید انجام بدید ......