17 Mrz

Mithilfe ausgefeilter PostgreSQL-Sicherungsstrategien auf der sicheren Seite

Datenbanksicherheit ist auch bei PostgreSQL ein sehr sensibles und ernst zu nehmendes Thema. Getreu dem Motto „Vertrauen ist gut, Kontrolle ist besser“ soll der Schutz wichtiger, geheimer und eventuell heikler Daten durch ein dediziertes Sicherheitskonzept gewährleistet sein. Ist dies nicht der Fall, laufen Sie Gefahr, dass wichtige Informationen Ihrer Datenbank an die falschen Personen gelangen. Nachfolgend werden einige relevante Eigenschaften dargestellt, die PostgreSQL zum Schutz Ihrer Datenbank zur Verfügung stellt.

Der erste wichtige Aspekt ist die Verteilung von Berechtigungen auf Basis von Datenbank Schemata. Beim Anlegen einer PostgreSQL-Datenbank können neben einem Superuser beliebig viele User oder Gruppen bestehend aus verschiedenen Nutzern geschaffen werden. Somit verfügt das System aus in sich verschachtelten Rollen, wodurch eine wesentlich flexiblere Struktur möglich ist. Mithilfe des Zeilenkommandos „CREATE ROLE“ lässt sich eine neue Datenbank-Rolle anlegen. Zusätzlich können jeder Rolle diverse Rechte auf Datenbankebene, Schemaebene, Tabellenebene oder Spaltenebene vergeben werden. Die Rollen haben die Möglichkeit, anderen Rollen Privilegien für den Zugriff auf bestimmte Objekte, wie beispielsweise Tabellen, zuzuweisen. Mithilfe des Kommandos „DROP USER“ können Rollen gelöscht werden.

Weiterhin bietet PostgreSQL verschiedene Arten von Datenbank-Sicherheitskontrollen. Mit der herkunftsorientierten Authentifizierung – Host based authentication – wird die Zugriffsberechtigung bei PostgreSQL mittels pg_hba.conf eines Users überprüft. Je nach Herkunft einer Anfrage existieren grundsätzlich verschiedene Authentifizierungsmethoden:

Trust, Reject, Password, GSS, SSPI, krb5, Ident, Peer, LDAP, RADIUS, CERT, PAM

  • Trust = uneingeschränkte Zugriffsberechtigung
  • Reject = Zugriffsberechtigung wird abgelehnt
  • Password = Zugriffsberechtigung nur mittels Passwort möglich
  • GSS = Generic security service
  • SSPI = Security Support Provider Interface
  • krb5 = Kerberos V5 wird verwendet, um den User zu authentifizieren
  • Ident = Ein Netzwerkprotokoll, das feststellen kann, welcher Benutzer eine bestimmte TCP-Verbindung geöffnet hat
  • LDAP = Lightweight Directory Access Protocol – Protokoll zum Zugriff auf einen Verzeichnisdienst
  • RADIUS = Remote Authentication Dial-In User Service
  • CERT = Certificate of authenticity
  • PAM = Pluggable Authentication Modules – wird verwendet, um bei der Authentifizierung zwischen Benutzer und Anwendung zu vermitteln. PAM ist Bestandteil von LINUX

Als Verschlüsselungsmechanismus verwendet PostgreSQL die serverseitige SSL (Secure Socket Layer) Verschlüsselung über X509 Zertifikate zur sicheren Datenübertragung.

Auch die Kommunikation zwischen PostgreSQL Nutzern und Datenbankinstanz ist ein wichtiger Sicherheitsfaktor. PostgreSQL Kunden kommunizieren über eine TCP/IP-Netzwerkverbindung mit der Datenbankinstanz, da sich Client und Server auf unterschiedlichen Systemen befinden. Der PostgreSQL-Server kann viele gleichzeitige Verbindungen von Clients handhaben, wobei die Anzahl der möglichen Verbindungen justierbar ist. Dadurch, dass für jede Verbindung ein neuer Prozess gestartet wird (fork), kommunizieren Client und Server mit Daten aus einem separaten Adressraum. Generell gilt, dass der initiale Serverprozess immer läuft und auf Clientverbindungen wartet, während die Client- und die zugehörigen Serverprozesse kommen und gehen.

Abschließend lässt sich sagen, dass die höchste Sicherheit und Stabilität durch den Support erreicht wird, den diverse Unternehmen für PostgreSQL anbieten. Arbeiten auch Sie mit schutzbedürftigen Daten, sollte die Zusammenarbeit mit einem Support-Unternehmen definitiv in Erwägung gezogen werden, um jegliches Risiko zu umgehen. Mittels Fernwartung und der 24 x 7 Garantie sind Sie damit stets auf der sicheren Seite. Der Support ist von überall aus möglich, egal, ob Ihr Unternehmen in Berlin, Köln, München, Dresden oder anderen Teilen Deutschlands sitzt.

Share this

Leave a reply