it-swarm.com.de

Funktionsweise der Verschlüsselung bei der SQL-Anmeldeauthentifizierung

Ich gehe durch den folgenden Link

https://docs.Microsoft.com/en-us/dotnet/framework/data/adonet/sql/authentication-in-sql-server

und darin steht es

Wenn SQL Server-Anmeldungen verwendet werden, werden SQL Server-Anmeldenamen und verschlüsselte Kennwörter über das Netzwerk übertragen, wodurch sie weniger sicher sind.

wie wird das Passwort verschlüsselt und wie entschlüsselt es der SQL Server? Um welche Art von Verschlüsselung handelt es sich?

6
ioquestion

wie wird das Passwort verschlüsselt und wie entschlüsselt es der SQL Server? Um welche Art von Verschlüsselung handelt es sich?

Super High Level, wenn Sie eine Verschlüsselung für die Instanz eingerichtet haben, kann das konfigurierte Zertifikat verwendet werden. Wenn Sie es nicht aktiviert haben, wird das selbstsignierte Zertifikat verwendet, das beim Start von SQL Server erstellt wurde.

Unabhängig davon, welche verwendet wird, erfolgt die SSL/TLS-Einrichtung hierfür während der Verhandlungsphase vor der Anmeldung. Wenn die Verschlüsselung jedoch entweder nicht festgelegt oder erzwungen wird, ist der TLS/SSL-Teil nur für die Dauer der Übertragung der Anmeldeinformationen aktiv und kehrt sofort zum Klartext (kein SSL/TLS) zurück, sobald dies für die Dauer von abgeschlossen ist die Verbindung.

SQL Server selbst verschlüsselt oder entschlüsselt die Daten nicht, sondern wird nur während der Übertragung verschlüsselt und entschlüsselt. Abhängig von Ihrem Client-Treiber und Ihrer Anwendung kann dies im Klartext in Ihrem Prozessspeicher vorhanden sein oder nicht. Darüber hinaus verwendet SQL Server Hashes, um die Kennwörter zu überprüfen, und speichert nicht das ursprüngliche Nur-Text-Kennwort für SQL-Anmeldungen (es sei denn, Sie möchten Proxy-Konten und Verbindungsserver pedantisch behandeln).

7
Sean Gallardy

Ich stimme allen Punkten zu, die Sean in seiner Antwort angesprochen hat.

Ich denke jedoch, dass der Punkt, den die Docs-Seite anstrebt, darin besteht, dass die Kerberos-Authentifizierung über Windows niemals erfolgt1 Übergibt das Passwort über das Netzwerk. Die SQL-Authentifizierung funktioniert, was bedeutet, dass möglicherweise jemand, der Pakete erfasst, dieses Kennwort entschlüsseln und sich beim SQL Server anmelden kann.

Die Windows-Authentifizierung basiert auf Token. Wenn Sie sich anmelden, erhält Ihr Konto von der Anmeldebehörde ein Token, das über das Netzwerk weitergegeben und von der Anmeldebehörde bestätigt werden kann, ohne dass das Kontokennwort gefährdet werden kann.

Infolgedessen ist die SQL Server-Authentifizierung weniger sicher als die Windows-Authentifizierung.

3
Max Vernon