Discussion :

[maamar1979]

Bonjour à tous,

Ma question est la suivante : sous interbase, si quelqu’un copie le fichier de la base de données et l’ouvre sous un autre serveur (interbase aussi bien sur) avec un mot de passe est un nom utilisateur différent, la base est directement accessible !!!! Même chose aussi si en remplace la base isc4 contenant les droits d’accès par une autre, ou q’on réinstalle le serveur interbase.

Y’a pas de protection au niveau base de données mais juste au niveau serveur ? !!!!

Merci pour vos répenses.

[qi130]

Oui, c'est exactement ça.

[maamar1979]

est pour les autre serveurs (sql serveur, oracle, ...) est ce la meme chose ???merci encor

[qi130]

Non, pour beaucoup d'autres SGBD, il faut s'identifier au niveau du serveur.
Le SYSDBA déclare un utilisateur. Cet utilisateur sera donc connu du serveur.
Ensuite l'utilisateur reçoit des droits avec un maillage plus ou moins fin: niveau base de donnée, niveau table voire niveau colonne.

Mais tout ça demande du temps en administration des accès, ce dont dispense Interbase ou Firebird.

[maamar1979]

merci.

et pourqoi pas inserer la protection avec la BD elle meme (comme c le cas dans access ... la comparaison ici vaux ce quelle vaux ).

merci encor

[hgourvest]

A mon sens la protection du fichier de la base de données releve plus du systeme d'exploitation que du moteur de base de données lui même. D'autre part un chiffrement total de la base de données dégraderait considérablement les performances à mon avis.

[Barbibulle]

Le but est la performance, si les gros SGBD commencent à faire le travail du système d'exploitation, et qu'il y a 2 vérifications de sécurité, celà serait moins performant.

Ceci dit essayer de copier une base de données qui fait plusieurs Giga ou centaine de giga... Rien que ca limite bien la copie.


Et donc en principe la sécurité du fichier de la base est donc assuré par le système d'exploitation. Sachant que ce fichier ne doit bien entendu pas se trouver dans un répertoire (ou un disque) partagé sur le réseau...

Mais nous parlons peut etre dans le vide, car en fin de compte vous n'avez pas dit qu'est ce que vous soutiez protéger et de qui.

Les données ? la structure de la base ? les procédures ?
de qui ? Vos utilisateurs ? Vos clients (qui auraient donc le fichier sur un de leur serveur).

[maamar1979]

je cherche à proteger les donnée d'être modifier (vu ke le serveur est accessible pour plusieurs personne), et donc n'importe ki peut recopier la base isc4 à partir d'un CD remplacer le fichier existant (apres l'avoir sauvegarder), effectuer des modifs puis restaurer l'encienne base.

[maamar1979]

j'attend vos commentaire, merci.

[Barbibulle]

je cherche à proteger les donnée d'être modifier (vu ke le serveur est accessible pour plusieurs personne), et donc n'importe ki peut recopier la base isc4 à partir d'un CD remplacer le fichier existant (apres l'avoir sauvegarder), effectuer des modifs puis restaurer l'encienne base.

Le serveur n'est pas protégé par mot de passe ?

[maamar1979]

le poste serveur : non.

[Bejaia-In]

Moi aussi j'ai constaté cette propriété des fichiers Interbase qui ne sont pas protégé en interne.
C'est trés dommage !
La seule façon de protéger ces fichiers est de les mettre à l'abris mais où ?
Car trimer pendant des mois à créer une base de données avec ses tables, vues, triggers, procédures stockées et tout le tralala... pour se retrouver à la fin à la merçi de n'imprte quel quidam, c'est malheureux.

Enfin, esperont que ça ne s'ebruite pas !

[qi130]

tu souhaites protéger la base d'un piratage intellectuel ?

[Barbibulle]

Moi aussi j'ai constaté cette propriété des fichiers Interbase qui ne sont pas protégé en interne.
C'est trés dommage !
La seule façon de protéger ces fichiers est de les mettre à l'abris mais où ?
Car trimer pendant des mois à créer une base de données avec ses tables, vues, triggers, procédures stockées et tout le tralala... pour se retrouver à la fin à la merçi de n'imprte quel quidam, c'est malheureux.

Enfin, esperont que ça ne s'ebruite pas !

Heu faut être réaliste aussi...

Qui serait interressé par la structure de votre base de données ?
Sans le programme qui interroge votre base je ne pense pas qu'il puisse en faire grand chose.
Voir la structure des tables, n'avance pas a grand chose si on n'a pas les sources de l'applicatif qui utilise la base. Et je pense qu'il est plus simple de partir d'une analyse de zero que de chercher a copier quelque chose que l on a que partiellement.

N'oubliez pas qu'il est possible d'effacer les sources des PS aussi. Il ne reste donc dans votre base que la structure des tables, le non, des PS et les données.

Et comme je l'ai dejà dit, une bonne protection ce n'est pas de mettre des barrage de partout, des mots de passes et du cryptage.
Il faut commencer par se poser la question : En étant réaliste qui serait interréssé par l'accès à la structure de votre base et pour en faire quoi ?
Personnellement pour mon cas, il n y a que la conccurence, et ce n'est surement pas pour copier mais ca serait pour pouvoir écrire éventuellement un programme de transfert vers leur application... (Donc ca serait dans le cas ou je perd un client). Ceci dit comme je propose un service d'extraction des données, je ne pense pas que cette conccurence ne fasse l'effort inutile d'essayer d'analyser mes tables.

[makowski]

est pour les autre serveurs (sql serveur, oracle, ...) est ce la meme chose ???merci encor

pour sql serveur oui et pour beaucoup d'autre
c'est comme dit Henry à l'OS de faire cette protection
quand à la protection d'accès je rigole

mais ce n'est pas le débat
toutefois il est possible qu'un cryptage soit mis en place dans Firebird 3

[devalender]

ça fait effet deux fois que ce genre de poste revient sur le forum, je pense donc que c'est un vrai pb auquel nous utlisateur de firebird sommes tous confrontés. il n'est donc pasà negliger en tout cas je pense !

[makowski]

il faut juste préciser les choses
une base ne doit être accessible que par le processus Firebird et rien d'autre c'est tout
et là la protection est très bonne.
Un poste client ne doit pas pouvoir acceder à la base autrement qu'en passant par Firebird, c'est tout, autrement dit une base ne doit pas être dans un répertoire partagé par exemple
et là on peu gérer tous les droits que l'on veux, au niveau role ou utilisateur
sur les tables, les procédures, les colonnes, les vues

[uluru]

ça fait effet deux fois que ce genre de poste revient sur le forum, je pense donc que c'est un vrai pb

Je confirme que c'est bien un vrai problème.

Qui serait interressé par la structure de votre base de données ?

- les utilisateurs finaux
- les distributeurs
- les concurrents

Quand on développe des logiciels ouverts, pas de problème. Mais quand on développe du standard on souhaite distribuer un logiciel ficelé où l'interface utilisateur fournit toutes les fonctions utiles et seulement celles là.
Comment assurer un support si n'importe qui à pu bidouiller les données?

[makowski]

je ne suis pas persuadé que ce soit un vrai problème
quand on livre une appli avec Oracle, c'est pareil, le dba à forcément accès à la structure des données

ceci dit,des choses sont prévues dans le futur et en attendant, vous pouvez lire le document : http://www.firebirdsql.com/manual/fbmetasecur.html qui fait bien le tour de la question

[Barbibulle]

De toute façon, les données de vos clients leurs appartiennent. Donc qu'ils les modifient par votre interface ou en direct ca ne devrait pas vous poser un probleme...


De plus je ne vois pas mes clients bidouiller mes bases. Et ce pour plusieurs raisons :

1- Ils ont autre chose à faire... Ce n'est pas leur métier.
2- S'il y a un probleme ils m'appellent
3- Ils n'ont aucunne idée de ce qu'est un SGBD et donc ne savent meme pas que dans le fichier il y a bien plus que leur propre données.
4- Et en ce qui concerne le la protection intelectuelle, il faut vous poser la question qui aurait interret à voler vos idées. Et ensuite est ce plus rentable d'essayer de voler la struture de votre base et d'imaginer les traitements qui se trouvent dans les PS (dont on peut supprimer les sources) et la partie cliente oubien plus facile de partir de zero ? En générale en plus des données du clients vous avez des données techniques, sans doc il est difficile d'imaginer à quoi elles servent dans vos traitements.... Donc se faire pirater sa base relève un peu du fantasme.
5- Ceux qui ne connaissent pas firebird/interbase, ne sont pas sencés savoir qu'en installant un autre serveur et copiant la base dessus il peuvent acceder aux données... De plus c'est un peu lourd comme manipulation...


Bref meme si techniquement c'est en effet relativement facile, en pratique le risque est a mon avis infime.