پایگاههای داده – محدود کردن نوردهی کد منبع

می گویند شما به تکنسین های مرکز داده (یا مدیریت) اعتماد ندارید، اما هیچ گزینه دیگری از میزبانی برنامه وب خود را با آنها ندارید.

همچنین می گویید که می خواهید برخی از فایل ها را غیر قابل دسترسی به افرادی که دسترسی به

سوال
چگونه تنظیمات زیر را در تأمین کد منبع و سایر فایل های حساس تأثیر می گذارد؟

روش حفاظت:

فرض کنید که برنامه از ستون زیر استفاده می کند:
LEMP + Redis + Node (Websocket)

A. یک پیکربندی زمانی

  1. غیر فعال کردن خودکار راه اندازی Nginx، Redis و MySQL
  2. یک پوشه ریشه برای یک پارتیشن RAMDISK ایجاد کنید:
    mkdir -p / media / private
  3. تغییر دایرکتوری داده MySQL به / media / private / mysql

B. پس از هر بار راه اندازی مجدد

  1. پارتیشن RAMDISK را ایجاد و نصب کنید:
    mount -t tmpfs -o size = 2048M tmpfs / media / private /
  2. دایرکتوری زیر را در زیر / media / private
  3. فایل های داده MySQL را آپلود کنید، فایل پیکربندی Nginx، پرونده های SSL cert، فایل پیکربندی Redis، فایل های منبع پی اچ پی و پرونده های پرونده های گره را در زیر پوشه مناسب / media / private
  4. سرور با پیکربندی سفارشی
  5. شروع سرور MySQL
  6. شروع Nginx با پیکربندی سفارشی

پایگاههای داده – Tokenization – آیا استفاده از نشانه ها مجاز است؟

اگر یک سیستم رمزگذاری برای PII را در یک پایگاه داده پیاده سازی کنم، آیا رفتار ضعیف و یا خطرناکتری برای استفاده مجدد از نشانه ها در نظر گرفته شده است؟

به عنوان مثال، اگر من چندین بار نام "ریچارد" را ذخیره کنم، همه با برچسب "Fxyw3Qq5yzXqDoiKqx" جایگزین شده است، آیا پس از آن هر گونه خطر اضافی را معرفی، از جمله اگر من برای استفاده از یک شناسه منحصر به فرد برای هر "ریچارد"

پایگاههای داده – تعریف در شناسه های تأیید هویت

این سوال به چندین سوال تقسیم شده است که – حداقل در مورد SO – بر روی آن خنثی شده است، اما به یک سوال اصلی که عبارت است از: روش صحیح استفاده از احراز هویت نشانه ها

در اینجا دانش من در مورد چگونگی تأیید شناسه ها کار می کنند، اما این تنها فرضیه ها است، زیرا من نمی توانم اطلاعات مفیدی در اینترنت پیدا کنم.

  1. وقتی یک کاربر وارد سیستم می شود، Token authentication در پایگاه داده، مجددا نسخه قبلی خود را تغییر می دهد.

  2. کوکی های تأیید هویت باید پس از یک مقدار معینی از زمان پایان یابد. (اگر کاربر بتواند این زمان را پیکربندی کند؟)

  3. کوئین های تأیید باید در سمت سرویس گیرنده به عنوان کوکی ها ذخیره شوند.

  4. وقتی کاربر کاری انجام می دهد که برای احراز هویت (برای مثال ایجاد یک پست) کد تأیید هویتی که آنها عرضه می کنند در برابر یک شناسه کاربری تأیید شده است که نیز عرضه می شود. فقط اگر آنها مطابقت داشته باشند، اجازه می دهم آنها پست را ایجاد کنند.

آیا این همه درست است؟ و آیا چیز دیگری وجود دارد که باید بدانم؟

من تکرار خواهم کرد که من مطمئن هستم که کسی این را مبهم و یا بازجوئی در نظر می گیرد، بنابراین می خواهم در صورت نیاز هر چیزی را روشن کنم.