---

Vi er en sportsklub, som ønsker at lægge nogle data fra vores interne
server ud på vores hjemmeside.

Den interne server bruges i dag til at visse disse data på nogle
klientmaskiner, der er tilkoblet lokalnetværket. Der kører en IIS på
maskinen, således at data vises via et webinterface på klienterne. Data
ligger i en MS Access-database. Ingen af maskinerne er i dag på internettet.

I den Access-database, hvor disse data ligger, er der nogle
medlemsoplysninger, som vi helst ikke vil have, at andre skal have adgang
til. Andre data er ikke særlig følsomme, og det er dem, vi gerne vil have
vist via et webinterface på hjemmesiden.

Jeg vil derfor høre, om nogen på grundlag af ovenstående kan skitsere en
løsning, der gør, at vi kan lægge de
ikke-følsomme oplysninger ud på nettet, uden at fygte for vore interne data.

Jeg har overvejet noget i stil med følgende:
[PC1 (nuv. intern server)]
- AccessDB med masterdata
- Webserver
- Firewall, der kun tillader connections fra PC2 samt de forskellige
klienters IP-adresser

[PC2 (Ny webserver) - forbundet til PC1 via lokalnet]
- PC2 er på internettet
- AccessDB med link til de nødvendige tabeller i masterdatabasen, men ikke
til tabellen med de følsomme data
- Webserver

[Hjemmeside - hostet eksternt]
- Link til indholdet på webserveren på PC2

---

> Jeg vil derfor høre, om nogen på grundlag af ovenstående kan skitsere en
> løsning, der gør, at vi kan lægge de
> ikke-følsomme oplysninger ud på nettet, uden at fygte for vore interne
data.

Nu har du ikke skrevet hvor tit informationen ændrer sig. Er i en sportsklub
hvor der kun sker rettelser i jeres medlemskartotek, f.eks. een gang i
kvartalet, er det sikreste vel at eksportere alle de "ikke følsomme" data
til en ny database og lade denne ligge på jeres eksterne server.

Den eksterne server kan så være 100% adskilt af jeres interne net.

Mvh Henrik

---

"Henrik Larsson" <usenet@1.spambox.dk> skrev i en meddelelse
news:c68h38$d1h$1@sunsite.dk...
> > Jeg vil derfor høre, om nogen på grundlag af ovenstående kan skitsere
en
> > løsning, der gør, at vi kan lægge de
> > ikke-følsomme oplysninger ud på nettet, uden at fygte for vore interne
> data.
>
> Nu har du ikke skrevet hvor tit informationen ændrer sig.
> (...)
> Den eksterne server kan så være 100% adskilt af jeres interne net.

De ikke-følsomme data ændrer sig dagligt, så det vil være et problem for os,
at vi med den ovenfor skitserede løsning vil skulle replikere data hver dag,
for at opnå den opdateringsfrekvens, vi er interesserede i.

De følsomme data opdateres dog kun ca. en gang om måneden eller så.

---

Christian R. Larsen wrote:

> "Henrik Larsson" <usenet@1.spambox.dk> skrev i en meddelelse
> news:c68h38$d1h$1@sunsite.dk...
>> > Jeg vil derfor høre, om nogen på grundlag af ovenstående kan skitsere
> en
>> > løsning, der gør, at vi kan lægge de
>> > ikke-følsomme oplysninger ud på nettet, uden at fygte for vore interne
>> data.
>>
>> Nu har du ikke skrevet hvor tit informationen ændrer sig.
>> (...)
>> Den eksterne server kan så være 100% adskilt af jeres interne net.
>
> De ikke-følsomme data ændrer sig dagligt, så det vil være et problem for
> os, at vi med den ovenfor skitserede løsning vil skulle replikere data
> hver dag, for at opnå den opdateringsfrekvens, vi er interesserede i.

Du bør alligevel overveje løsningen. Hvis du linker fra den 'externe' Access
til den interne Access, vil du få rimelig meget trafik over dit LAN (PC2
<-> PC1).
Det kan risikere at genere brugerne af Masterbasen.

--
Med venlig hilsen
Stig Johansen

---

Christian R. Larsen skrev:

>Jeg har overvejet noget i stil med følgende:

Jeg er ikke sikkerhedsekspert. Så er det sagt.

>[PC1 (nuv. intern server)]
>- AccessDB med masterdata
>- Webserver
>- Firewall, der kun tillader connections fra PC2 samt de forskellige
>klienters IP-adresser

>[PC2 (Ny webserver) - forbundet til PC1 via lokalnet]
>- PC2 er på internettet
>- AccessDB med link til de nødvendige tabeller i masterdatabasen, men ikke
>til tabellen med de følsomme data Webserver

Man behøver ikke en ny database. Med f.eks. PHP kan man trække
data ud og præsentere på en hjemmeside. Hvis det laves sikkert
(hvem sagde Valus?), er der ikke adgang til andet end det der
skal tillades.

Men selve opdelingen bruges mange steder.

--
Bertel
http://bertel.lundhansen.dk/   FIDUSO: http://fiduso.dk/

---

"Bertel Lund Hansen" <nospamius@lundhansen.dk> skrev i en meddelelse
news:unjf80pnquth04b3ebqk4i1q3pgj2un6a3@news.stofanet.dk...
> Man behøver ikke en ny database. Med f.eks. PHP kan man trække
> data ud og præsentere på en hjemmeside.

Ja, men det er ikke det, der er problemstillingen. Vi kan sagtens lægge data
ud på hjemmesiden, og vi gør det jo i dag på det interne netværk via nogle
ASP-sider. Problemstillingen går ud på, hvordan vi undgår, at brugerne får
adgang til dele af databasen, som vi ikke ønsker, skal være tilgængelige for
dem.

> Hvis det laves sikkert
> (hvem sagde Valus?), er der ikke adgang til andet end det der
> skal tillades.

Det er jeg ikke i tvivl om

---

Christian R. Larsen skrev:

>Ja, men det er ikke det, der er problemstillingen. Vi kan sagtens lægge data
>ud på hjemmesiden, og vi gør det jo i dag på det interne netværk via nogle
>ASP-sider.

Ja, men man kan vel ikke trække andre data ud via de hjemmesider
end dem der er adgang til i ASP-koden - medmindre i laver Valus'
fejl og sender brugerinput ufiltreret direkte til databasen?

>Problemstillingen går ud på, hvordan vi undgår, at brugerne får
>adgang til dele af databasen, som vi ikke ønsker, skal være tilgængelige for
>dem.

Hvordan tror du da at de ville få adgang?

--
Bertel
http://bertel.lundhansen.dk/   FIDUSO: http://fiduso.dk/

---

"Bertel Lund Hansen" <nospamius@lundhansen.dk> wrote in message
news:s8oh8092557sdceag4mbrfjs76loepqhvq@news.stofanet.dk...
> Christian R. Larsen skrev:
>
> >Ja, men det er ikke det, der er problemstillingen. Vi kan sagtens lægge
data
> >ud på hjemmesiden, og vi gør det jo i dag på det interne netværk via
nogle
> >ASP-sider.
>
> Ja, men man kan vel ikke trække andre data ud via de hjemmesider
> end dem der er adgang til i ASP-koden - medmindre i laver Valus'
> fejl og sender brugerinput ufiltreret direkte til databasen?
>
> >Problemstillingen går ud på, hvordan vi undgår, at brugerne får
> >adgang til dele af databasen, som vi ikke ønsker, skal være tilgængelige
for
> >dem.
>
> Hvordan tror du da at de ville få adgang?

Det skal jeg ikke kunne sige. Jeg er ikke nogen stor hacker.

---

Christian R. Larsen wrote:

[snip - forklaring om setup]

Hvis din PC1 er 'stor' nok, kan du undersøge denne mulighed:
- Sæt et ekstra netkort i PC1.
- Sæt en router på I*net forbindelsen, og forward(kun) port 80 til det
ekstra netkort.
- Konfigurér din webserver[1](PC1) med et virtuelt domaine på det ekstra
netkort.
- Programmér webinterfacet, så det *kun* kan læse dine ikke-følsomme data.

--
Med venlig hilsen
Stig Johansen

---

"Stig Johansen" <aaa@bbb.com> wrote in message
news:c6bqin$3h$1@sunsite.dk...
> Christian R. Larsen wrote:
>
> [snip - forklaring om setup]
>
> Hvis din PC1 er 'stor' nok, kan du undersøge denne mulighed:
> - Sæt et ekstra netkort i PC1.
> - Sæt en router på I*net forbindelsen, og forward(kun) port 80 til det
> ekstra netkort.
> - Konfigurér din webserver[1](PC1) med et virtuelt domaine på det ekstra
> netkort.
> - Programmér webinterfacet, så det *kun* kan læse dine ikke-følsomme data.

OK. Har du mulighed for at forklare pointen med pkt. 2?

---

Christian R. Larsen wrote:

> "Stig Johansen" <aaa@bbb.com> wrote in message
> news:c6bqin$3h$1@sunsite.dk...
>> Christian R. Larsen wrote:
>>
>> [snip - forklaring om setup]
>>
>> Hvis din PC1 er 'stor' nok, kan du undersøge denne mulighed:
>> - Sæt et ekstra netkort i PC1.
>> - Sæt en router på I*net forbindelsen, og forward(kun) port 80 til det
>> ekstra netkort.
>> - Konfigurér din webserver[1](PC1) med et virtuelt domaine på det ekstra
>> netkort.
>> - Programmér webinterfacet, så det *kun* kan læse dine ikke-følsomme
>> data.
>
> OK. Har du mulighed for at forklare pointen med pkt. 2?

Du skrev ikke hvilken form for internetforbindelse i har/skal have, så jeg
nævnte det med routeren, i tilfælde af, at der er tale om en
bredbåndsforbindelse eller lign. uden router.
Ved kun at forwarde port 80, stopper man for diverse blaster, slammer osv.

--
Med venlig hilsen
Stig Johansen

---

On Sun, 25 Apr 2004 04:49:19 +0200, Stig Johansen <aaa@bbb.com>
wrote:

> Ved kun at forwarde port 80, stopper man for diverse blaster, slammer osv.

Mja, måske lige de to, men hvis en given orm udnytter en bestemt
type webserver (på port 80), så har man ikke stoppet noget.
--
http://www.hojmark.org/

---

Asbjorn Hojmark wrote:

> On Sun, 25 Apr 2004 04:49:19 +0200, Stig Johansen <aaa@bbb.com>
> wrote:
>
>> Ved kun at forwarde port 80, stopper man for diverse blaster, slammer
>> osv.
>
> Mja, måske lige de to, men hvis en given orm udnytter en bestemt
> type webserver (på port 80), så har man ikke stoppet noget.

Enig, men hvis man er bange for en bestemt type webserver, er der vel ikke
anden udvej end at finde en webserver man kan stole på?

--
Med venlig hilsen
Stig Johansen

---

On Sun, 25 Apr 2004 13:40:50 +0200, Stig Johansen <aaa@bbb.com>
wrote:

>> Mja, måske lige de to, men hvis en given orm udnytter en bestemt
>> type webserver (på port 80), så har man ikke stoppet noget.

> Enig, men hvis man er bange for en bestemt type webserver, er der
> vel ikke anden udvej end at finde en webserver man kan stole på?

Mjo, man kan få svært ved at finde en webserver-moduler, der ikke
er fundet sårbarheder i.

Men det er 'besides the point'. Du sagde, 'man skal bare', og så
simpelt er det altså ikke.

-A
--
http://www.hojmark.org/

---

Asbjorn Hojmark wrote:

>> Ved kun at forwarde port 80, stopper man for diverse blaster, slammer
>> osv.
>
> Mja, måske lige de to, men hvis en given orm udnytter en bestemt
> type webserver (på port 80), så har man ikke stoppet noget.

Læste lige OP, bemærkede, at der kun skulle linkes fra extern side.
Så ja, det er nok en god ide, at lægge webserveren på en helt anden port,
eksempelvis (1)41448. Så undgår man også Code Red, Nimbda - og det der
skrammel.

--
Med venlig hilsen
Stig Johansen

---

"Stig Johansen" <aaa@bbb.com> skrev i en meddelelse
news:c6f909$pec$1@sunsite.dk...
> Du skrev ikke hvilken form for internetforbindelse i har/skal have, så jeg
> nævnte det med routeren, i tilfælde af, at der er tale om en
> bredbåndsforbindelse eller lign. uden router.
> Ved kun at forwarde port 80, stopper man for diverse blaster, slammer osv.

ADSL med router

---

Christian R. Larsen wrote:
> Jeg vil derfor høre, om nogen på grundlag af ovenstående kan skitsere en
> løsning, der gør, at vi kan lægge de
> ikke-følsomme oplysninger ud på nettet, uden at fygte for vore interne data.

Det er normalt detaljerne, ikke planen, der kommer tilbage og bider jer.

Normalt ligger Access databaser som filer, og intet forhindrer andre i
at downloade hele jeres database hvis de gaetter navnet. Soerg for, at
database filen ligger uden for webroot, eller skift til et helt andet
databaseprodukt.

Anbefaler paa det kraftigste at I soerger for at faa hjaelp fra nogen
der baade forstaar hvordan jeres implementation kan paavirkes til en
angribers fordel, og hvordan implementationen sikres mod den slags fejl.

Evt. kan du poste "bite-sized" problemer her, og haabe der kommer input.

--
I prefer the dark of the night, after midnight and before four-thirty,
when it's more bare, more hollow. http://a.mongers.org