medoc.ua

Добрый день,

Столкнулись на нашем предприятии с такой проблемой: во время сканирования информационной сети на уязвимости Nessus сканером, на сервере, на котором установлен M.E.Doc, были выявлены пароли по умолчанию в БД Firebird от учетной записи SYSDBA. Насколько я понимаю, база данных устанавливается вместе с ПО, изменить отдельно в базе не нарушив работу ПО невозможно.

Подскажите пожалуйста, как выйти из ситуации, изменить пароль по умолчанию и закрыть эту уязвимость? Версия ПО 10.01.109

Забути про це.
Не користуватися Nessus сканером

Всем привет. Есть какие-то обновления по теме?

а где потом его хранить? (например при бесконечных выгрузках - загрузках? ) в другой базе ? или в текстовом файлике ?
зачем головной боль?
для злобных юзеров, не говоря уже о вирусах, есть более простые способы
убить Вашу базу даже не зная этого пароля, так что не стоит беспокоится , imho

agtrif писав: ↑

24 вересня 2018, 18:21

а где потом его хранить? (например при бесконечных выгрузках - загрузках? ) в другой базе ? или в текстовом файлике ?
зачем головной боль?
для злобных юзеров, не говоря уже о вирусах, есть более простые способы
убить Вашу базу даже не зная этого пароля, так что не стоит беспокоится , imho

Действительно, зачем заморачиваться и менять дефолтные пароли
админов компа и админов СУБД - ведь есть же масса других способов навредить.

Поэтому надо оставить минимум один и самый простой - беспарольный админ-доступ к СУБД Firebird извне.

Ну а потом рассказывать в соседних темах как разработчики болеют за безопасность пользователей и их данных - ведь намного проще отказаться от поддержки операционных систем WIndows XP & Windows Server 2003 R2 чем сменить дефолтный пароль к СУБД и установить, например, равный коду ЕГРПОУ предприятия или коду ИНН для ФОП.

Qwerty писав: ↑

01 січня 2019, 14:18

[quote=agtrif post_id=180053
Действительно, зачем заморачиваться и менять дефолтные пароли
админов компа и админов СУБД - ведь есть же масса других способов навредить.

Поэтому надо оставить минимум один и самый простой - беспарольный админ-доступ к СУБД Firebird извне.

Слід зазначити, що при гарній роботі адмінів порт 3050 для FB буде недоступний назовні сервера аплікацій, лише 9996. Так що пароль СУБД великого впливу на безпеку не матиме.

poltava_energy писав: ↑

02 січня 2019, 09:00

Qwerty писав: ↑

01 січня 2019, 14:18

[quote=agtrif post_id=180053
Действительно, зачем заморачиваться и менять дефолтные пароли
админов компа и админов СУБД - ведь есть же масса других способов навредить.

Поэтому надо оставить минимум один и самый простой - беспарольный админ-доступ к СУБД Firebird извне.

Слід зазначити, що при гарній роботі адмінів порт 3050 для FB буде недоступний назовні сервера аплікацій, лише 9996. Так що пароль СУБД великого впливу на безпеку не матиме.

Это красиво говориться при использовании Медка в локальном варианте, а если учесть, что есть клиенты сетевого Медка, которые используют сервер баз данных отдельно от сервера приложений, то их СУБД извне защищена всего-лишь дефолтным паролем.
Конечно правилами файервола можно ограничить доступ к СУБД только с конкретных адресов серверов приложений.
Удивляет другое - заботливые разработчики очень уж избирательно заботятся о защите и безопасности данных клиентов,
в некоторых случаях сваливая всё на клиента, как и в этом примере с дефолтным паролем.
Ну и бог с ним...
С наступившим 2019!

Qwerty писав: ↑

02 січня 2019, 14:00

Это красиво говориться при использовании Медка в локальном варианте, а если учесть, что есть клиенты сетевого Медка, которые используют сервер баз данных отдельно от сервера приложений, то их СУБД извне защищена всего-лишь дефолтным паролем.
Конечно правилами файервола можно ограничить доступ к СУБД только с конкретных адресов серверов приложений.
Удивляет другое - заботливые разработчики очень уж избирательно заботятся о защите и безопасности данных клиентов,
в некоторых случаях сваливая всё на клиента, как и в этом примере с дефолтным паролем.
Ну и бог с ними...

Про це довше писати ніж робити.
Сервер СУБД розміщується в одному сегменті із сервером аплікацій і назовні виводиться лише порти останнього. Сервер СУБД недоступний нізвідки окрім сервера аплікацій.
І це для бізнесу набагато більше прийнятніший варіант ніж відмова від Windows XP + Server 2003.
Тому що перший незатратний, а от другий = наносить прямі фінансові збитки підприємству. І це буде обовязково враховане при виборі наступної звітної програми.