pristupova prava

[Michal Kubecek]

On Fri, Oct 11, 2002 at 03:12:56PM +0200, Martin Zedek wrote:
> > mam otazku ohledne pristupovych prav v databazovych aplikacich.
> Nevim o jakou aplikaci se jedna, jestli o webovou, nebo 
> klasickou klient/server s klientem bezicim na pc uzivatele.
> 
> Pokud se jedna o druhy pripad a zvolite pristup,
> ze kazdy uzivatel je primo zaveden v db
> napadla me jedna "slabina".
> Tim ze uzivatel zna skutecne jmeno a heslo 
> do db, umoznujete mu vlastne, aby se na databazi
> napojil i jinak (nejen pres vasi aplikaci),
> coz muze byt pri sebemensi chybce pri pridelovani
> prav kriticke

V případě dvouvrstvých aplikací je to spíše obráceně. Je-li problematika
přístupových práv řešena na úrovni klientské aplikace, pak tato aplikace
musí v sobě obsahovat autentizační mechanismus (zjednodušeně heslo),
který umožní přístup k databázi na úrovni maximálního oprávněného uživatele
(většinou ještě o něco vyšším). Pokud nezabráníte uživateli v přístupu
ke kódu této aplikace (což ne vždy lze), může z ní toto heslo více či méně
snadno zjistit.

Důvodem pro nepoužití autorizačních mechanismů na úrovni databázového
serveru může být obvykle možnost jemnějšího řízení přístupu a snazší
údržba. Z bezpečnostního hlediska bych takové řešení ovšem doporučil
pouze u třívrstvých aplikací na prostřední úrovni, kam běžný uživatel
nemá přístup. Na druhou stranu, pokud klient i server běží na témže
PC s Win98, nemá smysl si hrát na nějakou bezpečnostní politiku.

                                                        Michal Kubeček