[heise News]: Freie Datenbank-Firewall schützt PostgreSQL und MySQL

Freie Datenbank-Firewall schützt PostgreSQL und MySQL

Weiterlesen…

Diese News wurde aus dem Heise RSS-Feed importiert.

Ähm, toll.

Signale für eine solche Gefährdung sind unter anderem leere Passwörter, OR und UNION in den Abfragen sowie Bedingungen, die immer wahr ergeben (1=1).

Wenn leere Passwörter zu einer Gefährdung der DB führen, das finde ich das so schlimm, daß eine “Firewall” eh zu spät ist.

Was an OR und UNION gefährlich ist, weiß ich nicht.

Bedingungen, die immer wahr ergeben, könnten durch aus Applikationen generierten Abfragen entstehen, eine Gefahr erschließt sich mir da nicht.


Was ist nicht gelesen habe: Schutz vor SQL-Injection.


Fazit: ein Stück zweifelhafter Software.


Andreas

Okay, laut deren HP kann sie SQL-Injection erkennen / verhindern. Aber das geht IMHO auch einfacher …


Andreas

Ähm, wirklich? Wie?



Aber das geht IMHO auch einfacher …

Verhindern ja, das ist einfach.
Erkennen? Hmm, nur über Heuristiken und die sind notorisch fehleranfällig.

Das darfst Du mich nicht fragen …

Verhindern ja, das ist einfach.
Erkennen? Hmm, nur über Heuristiken und die sind notorisch fehleranfällig.

Die Strings, die da kommen, halt parsen. Aber auch ich glaub nicht, daß das sicher funktioniert.

Andreas

Oh, sie machen in Heuristiken, na das ist ja lustig.
Müsste man mal testen, ob das auch nur leicht bessere Quoten als die Heuristiken der Virenscanner hat.

Vielleicht nehme ich mir das wirklich mal vor.

im artikel steht, dass das ding einen lernmodus hat …

damit akretschmer jedes eingehende sql-kommando in eine white-list eintragen kann (meinetwegen das muster)

nunja - freilich kann ich mir vorstellen, dass dieses ding das risiko etwas verringert - aber irgendwie riecht das nach energieverschwendung

Die Idee hatte ich auch schon, und noch eine andere, über die ich aber jetzt nicht reden mag :wink:

Aber:

kretschmer@tux:~$ sudo dpkg -i Desktop/greensql-fw_1.2.0_i386.deb
(Reading database ... 321625 files and directories currently installed.)
Preparing to replace greensql-fw 1.2.0 (using .../greensql-fw_1.2.0_i386.deb) ...
Stopping GreenSQL Database Firewall: greensql-fw.
Unpacking replacement greensql-fw ...
Setting up greensql-fw (1.2.0) ...
Configuring postgresql database

/etc/greensql/greensql.conf created according to dpkg information. See greensql.conf(5) for details.
A backup of the old config file is at /etc/greensql/greensql.conf.dpkg-old.
Values were preserved, and database settings reexamined.

Database type: postgresql
Dropping database greendb...
DROP DATABASE
dropping user green
DROP ROLE
Adding User green
CREATE ROLE
Creating database greendb...
CREATE DATABASE
Creating tables...
Password for user green:
dpkg: error processing greensql-fw (--install):
 subprocess post-installation script returned error exit status 2
Processing triggers for libc6 ...
ldconfig deferred processing now taking place
Errors were encountered while processing:
 greensql-fw

Hast Du eine Idee, wie ich das beheben könnte?

Andreas

Keine Ahnung, dafür müsste man sehen, was genau schief gelaufen ist.

Also kipp einen Bugreport bei denen ein :wink: