Verschlüsselt das Oracle JDBC-Client-Kennwort beim Herstellen einer Verbindung?

7

Wenn Sie die Oracle JDBC Client-Bibliothek verwenden, um eine Oracle-Verbindung herzustellen, ist das Kennwort oder der Sicherheits-Handshake standardmäßig verschlüsselt? (Möchten Sie wissen, ob das Risiko besteht, dass das Kennwort beim Herstellen einer Verbindung mit der Oracle JDBC-Clientbibliothek über die Leitung abgetastet wird)?

    
BestPractices 05.09.2012, 15:34
quelle

1 Antwort

23

Das Passwort wird immer verschlüsselt, wenn es über das Netzwerk übertragen wird.

Das heißt nicht, dass es für Angriffe unempfindlich ist. Wenn ein Angreifer den Hash eines Benutzerkennworts und abrufen kann, um den Netzwerkverkehr zwischen einem legitimen Client und der Datenbank zu überwachen, ist es möglich, das Nur-Text-Passwort zu erhalten .

Für die Neugierigen gibt es hier eine Zusammenfassung des Authentifizierungsprozesses zwischen verschiedenen Versionen der Oracle-Datenbanksoftware. Die Schritte zur Übertragung des verschlüsselten Passworts sind fett gedruckt. Es ist nicht völlig intuitiv, welche Version des Authentifizierungsprotokolls vom JDBC-Treiber verwendet wird, da sie nicht immer der beworbenen Version entspricht. Dies liegt daran, dass der Client aushandeln kann, welches Protokoll er verwenden möchte. Zum Beispiel verwendet der 11g JDBC-Treiber möglicherweise nicht das 11g-Authentifizierungsprotokoll, wenn er eine Verbindung zu einer 11g-Datenbank herstellt (er kann auf das 10g-Authentifizierungsprotokoll zurückgreifen). Ich vergesse, welche Treiber welche Protokolle verwenden.

Authentifizierungsprotokoll in Oracle Database 8

  1. Der Client fordert einen Server-Sitzungsschlüssel für einen bestimmten Benutzer an.
  2. Der Server generiert einen Server-Sitzungsschlüssel.
  3. Der Server verschlüsselt den Server-Sitzungsschlüssel mit dem Kennwort-Hash des angeforderten Benutzers als geheimen Schlüssel.
  4. Der Server überträgt den verschlüsselten Server-Sitzungsschlüssel an den Client.
  5. Der Client entschlüsselt den verschlüsselten Server-Sitzungsschlüssel mit dem Kennwort-Hash des Benutzers als geheimen Schlüssel.
  6. Der Client verschlüsselt das Kennwort des Benutzers mithilfe des Serversitzungsschlüssels als geheimen Schlüssel. (proprietärer Algorithmus basierend auf DES)
  7. Der Client sendet das verschlüsselte Passwort an den Server.
  8. Der Server entschlüsselt das verschlüsselte Passwort unter Verwendung seines Serversitzungsschlüssels als geheimen Schlüssel.
  9. Der Server berechnet den Hash des entschlüsselten Passworts.
  10. Wenn der berechnete Passwort-Hash (aus Schritt 9) mit der auf dem Server gespeicherten Kopie übereinstimmt, hat der Benutzer das korrekte Passwort angegeben.

Authentifizierungsprotokoll in Oracle Database 9i

  1. Der Client fordert einen Server-Sitzungsschlüssel für einen bestimmten Benutzer an.
  2. Der Server generiert einen Server-Sitzungsschlüssel.
  3. Der Server verschlüsselt den Server-Sitzungsschlüssel mit dem Kennwort-Hash des angeforderten Benutzers als geheimen Schlüssel.
  4. Der Server überträgt den verschlüsselten Server-Sitzungsschlüssel an den Client.
  5. Der Client entschlüsselt den verschlüsselten Server-Sitzungsschlüssel mit dem Kennwort-Hash des Benutzers als geheimen Schlüssel.
  6. Der Client verschlüsselt das Kennwort des Benutzers mithilfe des Serversitzungsschlüssels als geheimen Schlüssel. (proprietärer Algorithmus basierend auf DES)
  7. Der Client sendet das verschlüsselte Passwort an den Server.
  8. Der Server entschlüsselt das verschlüsselte Passwort unter Verwendung seines Serversitzungsschlüssels als geheimen Schlüssel.
  9. Der Server berechnet den Hash des entschlüsselten Passworts.
  10. Wenn der berechnete Passwort-Hash (aus Schritt 9) mit der auf dem Server gespeicherten Kopie übereinstimmt, hat der Benutzer das korrekte Passwort angegeben.

Authentifizierungsprotokoll in Oracle Database 10g

  1. Der Client fordert einen Sitzungsschlüssel vom Server an und gibt an, mit welchem ​​Benutzer er sich verbinden möchte.
  2. Der Server generiert einen Server-Sitzungsschlüssel.
  3. Der Server verschlüsselt den Server-Sitzungsschlüssel mit dem Kennwort-Hash des angeforderten Benutzers als geheimen Schlüssel.
  4. Der Server überträgt den verschlüsselten Server-Sitzungsschlüssel an den Client.
  5. Der Client entschlüsselt den verschlüsselten Server-Sitzungsschlüssel mit dem Kennwort-Hash des angeforderten Benutzers als geheimen Schlüssel.
  6. Der Client generiert einen Clientsitzungsschlüssel.
  7. Der Client kombiniert den Client-Sitzungsschlüssel mit dem Server-Sitzungsschlüssel.
  8. Der Client salzt das Passwort des Benutzers.
  9. Der Client verschlüsselt das gesalzene Passwort des Benutzers unter Verwendung der kombinierten Sitzungsschlüssel (ab Schritt 7) als seinen geheimen Schlüssel. (AES-128)
  10. Der Client verschlüsselt den Client-Sitzungsschlüssel mit dem Kennwort-Hash des Benutzers als geheimen Schlüssel.
  11. Der Client sendet den verschlüsselten Clientsitzungsschlüssel und das verschlüsselte, gesalzene Benutzerpasswort an den Server.
  12. Der Server entschlüsselt den verschlüsselten Clientsitzungsschlüssel mit dem Kennwort-Hash des angeforderten Benutzers.
  13. Der Server kombiniert den Client-Sitzungsschlüssel mit seinem Server-Sitzungsschlüssel.
  14. Der Server entschlüsselt das verschlüsselte, gesalzene Passwort unter Verwendung der kombinierten Sitzungsschlüssel (ab Schritt 13) als geheimen Schlüssel.
  15. Der Server hebt das gesalzene Passwort auf.
  16. Der Server hasht das entschlüsselte Passwort.
  17. Der Server vergleicht den berechneten Passwort-Hash (ab Schritt 16) mit dem gespeicherten Passwort-Hash. Wenn sie gleich sind, hat der Benutzer das richtige Passwort angegeben.

Authentifizierungsprotokoll in Oracle Database 11g

  1. Der Client fordert einen Sitzungsschlüssel vom Server an und gibt an, mit welchem ​​Benutzer er sich verbinden möchte.
  2. Der Server generiert einen Server-Sitzungsschlüssel.
  3. Der Server generiert Verifier-Daten.
  4. Der Server verschlüsselt den Server-Sitzungsschlüssel mit dem Kennwort-Hash des angeforderten Benutzers als geheimen Schlüssel.
  5. Der Server überträgt den verschlüsselten Server-Sitzungsschlüssel ("AUTH_SESSKEY") und die Verifier-Daten ("AUTH_VFR_DATA") an den Client.
  6. Der Client gibt das Passwort des Benutzers mit den Verifier-Daten als Salz aus.
  7. Der Client entschlüsselt den verschlüsselten Server-Sitzungsschlüssel mit dem Kennwort-Hash des Benutzers als geheimen Schlüssel.
  8. Der Client generiert einen Clientsitzungsschlüssel.
  9. Der Client kombiniert den Client-Sitzungsschlüssel mit dem Server-Sitzungsschlüssel.
  10. Der Client salzt das Passwort des Benutzers.
  11. Der Client verschlüsselt das gesalzene Passwort des Benutzers unter Verwendung der kombinierten Sitzungsschlüssel (ab Schritt 9) als seinen geheimen Schlüssel. (AES-192)
  12. Der Client verschlüsselt den Client-Sitzungsschlüssel mit dem Kennwort-Hash des Benutzers als geheimen Schlüssel.
  13. Der Client sendet den verschlüsselten Clientsitzungsschlüssel und das verschlüsselte, gesalzene Benutzerpasswort an den Server.
  14. Der Server entschlüsselt den verschlüsselten Clientsitzungsschlüssel mit dem Kennwort-Hash des angeforderten Benutzers.
  15. Der Server kombiniert den Client-Sitzungsschlüssel mit seinem Server-Sitzungsschlüssel.
  16. Der Server entschlüsselt das verschlüsselte, gesalzene Passwort unter Verwendung der kombinierten Sitzungsschlüssel (ab Schritt 15) als geheimen Schlüssel.
  17. Der Server hebt das gesalzene Passwort auf.
  18. Der Server hasht das entschlüsselte Passwort.
  19. Der Server vergleicht den berechneten Passwort-Hash (aus Schritt 18) mit dem gespeicherten Passwort-Hash. Wenn sie gleich sind, hat der Benutzer das richtige Passwort angegeben.
Adam Paynter 05.09.2012, 16:21
quelle

Tags und Links

Django: Verwenden von Annotate, Count und Distinct in einem Queryset Festlegen und Abrufen von Objekt an lokalen Speicher mit stringify?