Base de données : une faille de sécurité permet de prendre le contrôle total de la 11g R2 d'Oracle

[orafrance]

Envoyé par voran

Et ce n'est pas corrigé ?

Si... faut juste migrer la base et repasser à la caisse et ça a pris des années pour l'être

Envoyé par voran

pas top, mais qui a accès aux logs ?

Les dévs que ça agace de ne pas avoir accés à tout

[laurentschneider]

bon, vous voulez vous protéger de quoi? on peut bien mettre tous les patches de sécurités et toute les dernières versions et des passwords hyper complexes, il y aura toujours des applications bas-de-gamme qui sauveront le mot de passe en clair (ou en pseudo-pas-clair) sur le disque.

Et puis, si tu veux avoir une authentification sûre, avec certificats SSL et encryptions des connections réseaux, et bien bravo! mais même les "grosses boites" où voran bosse n'ont que rarement recours à Oracle Advanced Security Option, me trompé-je?

Sans doute le plus sûr est de débrancher ton cable réseau et comme ça personne n'accède a ta base

[orafrance]

Sans chercher la sécurité à tout prix, on est obligé de constater qu'Oracle à du retard dans le domaine même s'il tente de se payer une virginité à grand renfort de patchs trimestriels. Et pour certains, la sécurité c'est important

[laurentschneider]

peut-être

mais c'est quand-même dur d'ignorer les monstres trous dans le cerveaux des dbas et de pointer du doigt Oracle...

Bon, Oracle tente parfois de camoufler les bugs plutôt que de changer l'architecture .

J'ai aussi mes anecdotes
http://laurentschneider.com/wordpres...h-support.html

Et j'ai aussi eu un bug (select dbms_random.random/1e6+sysdate x from emp order by x desc) en 10.2, après 8 mois ils me disent, fixé en 12.1

[voran]

Envoyé par orafrance

Sans chercher la sécurité à tout prix, on est obligé de constater qu'Oracle à du retard dans le domaine même s'il tente de se payer une virginité à grand renfort de patchs trimestriels. ...

Je ne vois pas en quoi Oracle est en retard sur les autres SGBD à ce niveau
Décidemment, la supériorité définitive de cet éditeur agace certains

Envoyé par orafrance

Les dévs que ça agace de ne pas avoir accés à tout

Les devs ... en PROD ???
Qui peut accepter cela ???

[voran]

Envoyé par Emmanuel Lecoester

le mieux c'est le mec qui t'annonce avoir changer le mdp de system mais tu découvres qu'il ne l'a pas fait pour sys

Si la faille c'est le .... mec comme tu dis .... j'ai bien peur qu'on la retrouve sur tous les SGBD, système d'exploitation, serveur WEB , firewal ...etc ...
Nan ?

[orafrance]

Envoyé par voran

Je ne vois pas en quoi Oracle est en retard sur les autres SGBD à ce niveau
Décidemment, la supériorité définitive de cet éditeur agace certains

Moi ce qui m'agace c'est leur dispersion au mépris de l'élémentaire. La 9i était superbe, la console 10g est excellente mais la politique tarifaire accompagnée d'une qualité qui se dégrade, oui ça m'agace

Après, j'ai bien compris que ton amour pour Oracle est si intense que tu n'en vois même plus les défauts... c'est beau à voir

Envoyé par voran

Les devs ... en PROD ???
Qui peut accepter cela ???

Ils ne sont pas en prod mais ce qu'ils livrent oui

Envoyé par laurentschneider

Et j'ai aussi eu un bug (select dbms_random.random/1e6+sysdate x from emp order by x desc) en 10.2, après 8 mois ils me disent, fixé en 12.1

Voila exactement ce qui m'agace au plus au point chez Oracle... la base de connaissance n'a pas d'équivalent mais par contre, le support est un poil light voir affligeant par moment

[voran]

Envoyé par orafrance

Moi ce qui m'agace c'est leur dispersion au mépris de l'élémentaire.

C'est aussi le cheval de bataille de la concurrence (IBM, Microsoft ...), ils n'ont pas le choix, c'est ça où disparaitre

Envoyé par orafrance

...mais la politique tarifaire accompagnée d'une qualité qui se dégrade, oui ça m'agace

Faudrait savoir,, c'est la qualité du SGBD ou des DBA qui se dégrade ?

Envoyé par orafrance

...Après, j'ai bien compris que ton amour pour Oracle est si intense que tu n'en vois même plus les défauts... c'est beau à voir

Elle est très facile celle là mais même pas !
C'est juste que j'ai moins de chose a reprocher à ORACLE qu`à certains autres éditeurs très connus

Envoyé par orafrance

La 9i était superbe

Bof, décidemment nous ne sommes pas sur la même planète !

Envoyé par orafrance

Ils ne sont pas en prod mais ce qu'ils livrent oui

Et donc d'avoir accès aux logs en dev c'est grave ?
Ils livrent des données confidentielles ?

Envoyé par orafrance

Le support est un poil light voir affligeant par moment

Mon expérience me permet de te contredir encore une fois sur ce point.

[7gyY9w1ZY6ySRgPeaefZ]

Envoyé par voran

Si la faille c'est le .... mec comme tu dis .... j'ai bien peur qu'on la retrouve sur tous les SGBD, système d'exploitation, serveur WEB , firewal ...etc ...
Nan ?

Disons qu'Oracle n'aide pas particulièrement à rendre les tâches de sécurisation aisées.

[orafrance]

Envoyé par voran

C'est aussi le cheval de bataille de la concurrence (IBM, Microsoft ...), ils n'ont pas le choix, c'est ça où disparaitre

Bah pas vraiment, IBM et MS ont commencé dans l'édition d'OS donc faire progresser la virtualization ou la gestion des I/O ça parait moins étonnant que quand Oracle essaye de le faire.

Et surtout, IBM ou MS arrive à mener de front leurs sujets, Oracle semble plus débordé au regard de la dégradation de la qualité de leur OS

Envoyé par voran

Faudrait savoir,, c'est la qualité du SGBD ou des DBA qui se dégrade ?

Il y a probablement un peu des deux tant le métier de DBA est dénigré

Envoyé par voran

Elle est très facile celle là mais même pas !
C'est juste que j'ai moins de chose a reprocher à ORACLE qu`à certains autres éditeurs très connus

Donne des exemples, on est pas là pour descendre Oracle en flêche, c'est beaucoup plus intéressant de souligner les points forts et faibles de chaques éditeurs par rapport à leurs concurrents

Moi j'ai pas de paroisse

Envoyé par voran

Bof, décidemment nous ne sommes pas sur la même planète !

La 10g est plus compléte et plus user-friendly mais monstrueusement buggés... c'est quand même dramatique de sortir une version qui non contente de ne pas corriger les bugs de la version précédente en rajoute

Envoyé par voran

Et donc d'avoir accès aux logs en dev c'est grave ?
Ils livrent des données confidentielles ?

Tu ne comprends pas. Dans OeBS tu peux créer des programmes spécifiques, programmes qui sortent des logs. Ces logs peuvent contenir des données critiques parce que les programmes, eux, ont des droits étendus. Un user peux avoir des droits restreignant l'accés aux données et lancer un programme qui, lui, à accés à tout... comme les programmes installés en tant qu'admin sous windows si tu veux.

Envoyé par voran

Mon expérience me permet de te contredir encore une fois sur ce point.

d'où l'importance du : "par moment"

Comme laurentschneider, il m'ai arrivé de perdre un temps fou avec le support qui faute de mieux ne fait que t'encourager à passer le dernier patchset voir la version suivante... c'est quand même pas très sérieux

Note, que j'ai pas eu affaire à la concurrence donc je ne compare pas aux autres qui sont peut-être aussi voir plus mauvais.

[voran]

Envoyé par orafrance

Bah pas vraiment, IBM et MS ont commencé dans l'édition d'OS donc faire progresser la virtualization ou la gestion des I/O ça parait moins étonnant que quand Oracle essaye de le faire.

A force de rachat, cela n'a rien d'étonnant, bien au contraire.

Envoyé par orafrance

La 10g est plus compléte et plus user-friendly mais monstrueusement buggés... c'est quand même dramatique de sortir une version qui non contente de ne pas corriger les bugs de la version précédente en rajoute

Envoyé par orafrance

Et surtout, IBM ou MS arrive à mener de front leurs sujets, Oracle semble plus débordé au regard de la dégradation de la qualité de leur OS

De leur SGBD tu veux dire ...
Nos clients sous Oracle ne sont pas moins satisfaits que ceux sous SQL Server ou ensore MySQL.
Il n'y a pas plus de dégradation entre SQL Server 2008 et un ORACLE 11g.
Au dela d'une certaine volumétrie, SQL Server disparait, et ce n'est pas qu'une simple question de préjugé, certains de nos client (PRO MS) ont fait l'essai et s'en mordent les doigts. La réponse du support MS est relativement lente ... quand une solution est proposée.

Envoyé par orafrance

Note, que j'ai pas eu affaire à la concurrence donc je ne compare pas aux autres qui sont peut-être aussi voir plus mauvais.

C'est pourtant ce que tu viens de faire juste au dessus ...

Envoyé par orafrance

Il y a probablement un peu des deux tant le métier de DBA est dénigré

Dénigré pas forcément, mais il est tellement facile d'écrire DBA sur son CV ...

Envoyé par orafrance

Donne des exemples, on est pas là pour descendre Oracle en flêche, c'est beaucoup plus intéressant de souligner les points forts et faibles de chaques éditeurs par rapport à leurs concurrents

Il existe déjà un article de FADACE sur ce sujet. Article forcément contestable mais il s'agit d'un exercice plutôt délicat.

Envoyé par orafrance

on est pas là pour descendre Oracle en flêche,

Admettons que ce ne soit pas volontaire, mais c'est pourtant ce que vous faites

Envoyé par orafrance

Moi j'ai pas de paroisse

Mais tu as une bête noire

Envoyé par orafrance

Tu ne comprends pas. Dans OeBS tu peux créer des programmes spécifiques, programmes qui sortent des logs. Ces logs peuvent contenir des données critiques parce que les programmes, eux, ont des droits étendus. Un user peux avoir des droits restreignant l'accés aux données et lancer un programme qui, lui, à accés à tout... comme les programmes installés en tant qu'admin sous windows si tu veux.

Connais pas OeBS, dans ce cas, ces fameux programmes ne peuvent ou ne devraient pas crypter le contenu des logs ?
Les autres font mieux ?

Envoyé par orafrance

Comme laurentschneider, il m'ai arrivé de perdre un temps fou avec le support qui faute de mieux ne fait que t'encourager à passer le dernier patchset voir la version suivante... c'est quand même pas très sérieux

Chez MS, la tendance n'est pas à la mise à jour ... mais à la ré-install !

[voran]

Envoyé par Jerome_Mtl

Disons qu'Oracle n'aide pas particulièrement à rendre les tâches de sécurisation aisées.

Je ne pense pas.

Il ne faut pas tomber dans l'excès non plus. Par exemple, suite à la sortie d'un patch Microsoft, l'accès de notre appli à la base SQL Server était imposible car considérée comme une attaque.
Le client à légitimement mis en doute notre appli ... et notre savoir faire.
Manque de bol, L'application biz talk server, dont l'éditeur n'est autre que MS lui même, était également impacter par ce patch visiblement trop zellé.
La solution du support?
Désactivation du patch MS foireux par bidouillage dans la registry.

Bilan ?
Perte de confiance de la part du client malgré cette boulette monstrueuse de la part de MS.

Comme on peut le constater avec la version 10g et encore plus avec 11g, la sécurité est de plus en plus d'actualité, et sans tomber dans l'excès de MS.

[orafrance]

Envoyé par voran

Il n'y a pas plus de dégradation entre SQL Server 2008 et un ORACLE 11g.
Au dela d'une certaine volumétrie, SQL Server disparait, et ce n'est pas qu'une simple question de préjugé, certains de nos client (PRO MS) ont fait l'essai et s'en mordent les doigts. La réponse du support MS est relativement lente ... quand une solution est proposée.

Le problème c'est que SQL Server est tellement user-friendly que souvent les DSI pense que n'importe quel admin systéme fera l'affaire. Au moins avec Oracle c'est clair : DBA c'est un vrai métier

En tout cas, SQL Server supporte très bien la charge comme en atteste la liste des bases les plus volumineuses du monde

Envoyé par voran

Dénigré pas forcément, mais il est tellement facile d'écrire DBA sur son CV ...

Oui, et les CV trafiqués contribuent à ce dénigrement.

Envoyé par voran

Admettons que ce ne soit pas volontaire, mais c'est pourtant ce que vous faites

Je le descends sur des points qui me paraissent avoir perdu en qualité. Du reste, si j'adore travailler sur Oracle c'est surtout parce que techniquement c'est intéressant.. tant que tu t'intéresses pas à la politique tarifaire et la sécurité tout va bien... ou presque

Envoyé par voran

Mais tu as une bête noire

Pas du tout, si je préfère SQL Server pour sa simplicité, Oracle restera mon SGBD "de coeur" (si je puis dire ) parce que je le connais bien plus et peux donc bien mieux m'éclater. Au moins, pour une solution de haute dispo Oracle occupe tes journées quand ça prend quelques minutes sous SQL

Envoyé par voran

Connais pas OeBS, dans ce cas, ces fameux programmes ne peuvent ou ne devraient pas crypter le contenu des logs ?

Bah non parce que sinon l'utilisateur ne pourrait pas le lire alors qu'il contient normalement uniquement des informations sur le suivi du programme ou sa sortie, comme un report

Envoyé par voran

Les autres font mieux ?

Aucune idée... mais c'est pas OeBS le problème, c'est les dévs OeBS est un super produit... mais encore une fois, farci de bugs et dont la plupart des outils d'admin sont développés par les admins eux-même, du moins dans les versions plus anciennes parce que tout comme en 10G pour le SGBD, ils se sont améliorés à ce sujet

Envoyé par voran

Chez MS, la tendance n'est pas à la mise à jour ... mais à la ré-install !

C'est vrai que c'est la solution de facilité mais heureusement c'est rarement nécessaire

[orafrance]

Envoyé par voran

Je ne pense pas.

Il ne faut pas tomber dans l'excès non plus. Par exemple, suite à la sortie d'un patch Microsoft, l'accès de notre appli à la base SQL Server était imposible car considérée comme une attaque.
Le client à légitimement mis en doute notre appli ... et notre savoir faire.
Manque de bol, L'application biz talk server, dont l'éditeur n'est autre que MS lui même, était également impacter par ce patch visiblement trop zellé.
La solution du support?
Désactivation du patch MS foireux par bidouillage dans la registry.

Bilan ?
Perte de confiance de la part du client malgré cette boulette monstrueuse de la part de MS.

Comme on peut le constater avec la version 10g et encore plus avec 11g, la sécurité est de plus en plus d'actualité, et sans tomber dans l'excès de MS.

Je ne crois pas connaitre un seul éditeur qui ne sort pas des patchs qui ajoute des problèmes

En passant, Biztalk c'est une sacré horreur pour le DBA

[voran]

Envoyé par orafrance

En tout cas, SQL Server supporte très bien la charge comme en atteste la liste des bases les plus volumineuses du monde

C'est ce que j'ai lu aussi. Ainsi que pour MySQL.
a quand le même article pour Access ? nan je déconne
Mais mon expérience personnel me permet d'affirmer que cela n'est pas aussi évident qu'avec ORACLE.

Envoyé par orafrance

Au moins, pour une solution de haute dispo Oracle occupe tes journées quand ça prend quelques minutes sous SQL

Je ne veux pas être là en cas de défaillance d'un noeud SQL Server.
car il ne suffira plus de faire click click, et il sera très difficile de savoir ce qui se passe derrière ces "easy" interface
Cela ne te semble pas louche de mettre en place une solution HA digne de ce nom en quelques click ?

[orafrance]

Envoyé par voran

Mais mon expérience personnel me permet d'affirmer que cela n'est pas aussi évident qu'avec ORACLE.

En effet, SQL c'est une black box, alors c'est parfait pour le quotidien et quand tout va bien mais pour le tuning c'est bien moins transparent qu'Oracle... et c'est là que le DSI se dit : "ha... donc il faut un vrai DBA"

Envoyé par voran

Je ne veux pas être là en cas de défaillance d'un noeud SQL Server.
car il ne suffira plus de faire click click, et il sera très difficile de savoir ce qui se passe derrière ces "easy" interface
Cela ne te semble pas louche de mettre en place une solution HA digne de ce nom en quelques click ?

Absolument pas et ça marche parfaitement bien (cluster comme mirroir), on a évidemment fait un paquet de tests Simplement ça utilise très bien les features de l'OS, ce que ne peut pas faire Oracle qui est multi plateforme

[voran]

Envoyé par orafrance

Absolument pas et ça marche parfaitement bien (cluster comme mirroir), on a évidemment fait un paquet de tests Simplement ça utilise très bien les features de l'OS, ce que ne peut pas faire Oracle qui est multi plateforme

Encore heureux que ça marche
Mais c'est lors d'une défaillance en production que l'on se rend compte du potentiel d'un système HA.

[orafrance]

Ca on le sait déjà je te dis

Et c'est pas si évident que ça, t'en parlera à ceux qui on testé Data Guard à ses débuts

[voran]

Envoyé par orafrance

Ca on le sait déjà je te dis

Ha ? Donc ça tombe en panne ???
Je rigole

Envoyé par orafrance

Et c'est pas si évident que ça, t'en parlera à ceux qui on testé Data Guard à ses débuts

Je suis pas sûr de bien comprendre.
Lors d'une défaillance, SQL Server sur configuration HA est aussi évident que Data Guard à ses débuts ?

[orafrance]

Tu dis que ça marche c'est la moindre des choses... bah Dataguard à ses débuts c'était loin d'être fiable. Chez un client on a même abandonné Data guard au profit du produit de Quest (dont le nom m'échappe c'est un Streams avant l'heure) ça la fout mal de trouver mieux dans une petite boite quand même