مقدمه:
امروزه اهمیت و کاربرد روزافزون سیستم های اطلاعاتی بر کسی پوشیده نیست و از آن جا که حیات این سیستمها وابسته به حجم انبوهی از دادهاست، نیازبه استفاده از سیستمهای مدیریت پایگاه داده انکار ناپذیر می باشد. چون داده ها از ارزش بسیار بالایی برخوردار هستند تهاجمات زیادی برای تخریب و یا دسترسی غیر مجاز به آنها صورت می گیرد و بنابراین نیاز به روشهایی است که بتواند امنیت را در پایگاههای داده برقرار سازد. به طور کلی امنیت پایگاه داده به مجموعه سیاستها و مکانیزمهایی گفته می شودکه محرمانگی، جامعیت و دسترس پذیری را برای داده ها به وجود آورده و آنها را در برابر حملات عناصر داخلی و خارجی محافظت نماید. هرچند که این موضوع در کشورهای توسعه یافته جزو مباحث روز بوده و به پیشرفتهای بسیار نائل شده‌اند. هنوز این مبحث در کشورایران بسیار نوپا و جوان است .
بانک های اطلاعاتی ، در دسترس همگان :
یکی از ضعف های سایت های ایرانی دسترسی آسان کاربران به بانک های اطلاعاتی آنهاست . شاید بسیاری از برنامه نویسان نسبت به رفع ضعف های امنیتی ناشی از تزریق دستورات SQL اقدام کرده باشند . اما زمانی که بانک های اطلاعاتی خود را به سهولت در اختیار کاربران قرار می دهند . آنگاه یک کاربر به سادگی می تواند از طریق دریافت بانک اطلاعاتی نام کاربری و کلمه عبور سایت را بدست آورده و وارد مدیریت سایت شود .
متاسفانه گاهی در این بانک های اطلاعاتی اطلاعات گرانبهایی نیز گنجاده شده است که ارزشمند تر از ورود به بخش مدیریت آن سایت است . برای نمونه در یکی از سایتهای اینترنتی ایرانی که اقدام به فروش online کارتهای اینترنتی کرده است به سادگی با دریافت بانک اطلاعاتی توانستم به بیش از 500 کلمه عبور و نام کاربری کارتهای اینترنت و فون تو فون دسترسی پیدا کنم .
متاسفانه منشا این مشکل و ضعف نه برنامه نویسان سایت بلکه میزبانان سایت ها هستند . عدم ایجاد شاخه ای مختص بانک های اطلاعات در خارج از دایرکتوری وب باعث آن می شود که صاحبان سایتها به ناچار بانک های اطلاعاتی خود را در جایی بر روی دایرکتوری وب خود قرار دهند . در چنین حالتی نیز بانک اطلاعاتی قابل دریافت از طریق پروتکل http می باشد .
چندین سایت معتبر ایرانی که شاید از نظر ارزش اطلاع رسانی دارای ارزش بالایی نیز باشند جزو سایتهایی هستند که دارای این ضعف بزرگ می باشند در زیر نام چند سایت را که بانک های اطلاعاتی آنها به سهولت در دسترس همگان است را معرفی می کنم اما برای حفظ امنیت این سایت ها از گفتن آدرس بانک اطلاعاتی آنها خودداری می کنم چون بانک های اطلاعاتی این سایتها دارای اهمیت ویژه ای می باشند :
- http://www.jahaneghtesad.com
- http://www.irannewsdaily.com
- http://www.kanoonparvaresh.com
- http://www.akunews.com
اما یک سایت دیگر نیز دارای این مشکل می باشد اما از آنجهت که در بانک اطلاعاتی آن مطلب مهمی را پیدا نکردم برای نمونه و آشنایی بیشتر خوانندگان آدرس کامل بانک اطلاعاتی آن را معرفی می کنم:
- http://www.iranagahi.com/mdbdir/iranagahi.mdb
شاید عدم دقت به نکات ساده و نه نکات پیچیده سایت های ایرانی را از این ناامنی که از آن رنج می برند نجات دهد که بدون شک منجر به نجات اطلاع رسانی و کمک به ارتقا سطح دانش اطلاع رسانی کشور خواهد شد .
اما از سوی دیگر این نقطه ضعف تنها در مورد بانک های اطلاعاتی مبتنی بر فایل وجود دارد و در بانک های اطلاعاتی همچون MS SQL و MySql ما شاهد چنین ضعف هایی نیستیم .
پس برای بالابردن سطح ایمنی سایت خود در صورتی که با اطلاعات مهمی سر و کار دارید به شما توصیه می کنم که از بانک های اطلاعاتی مبتنی بر فایل استفاده نکنید .
اما در مورد سایتهایی که مجبور به استفاده از چنین بانک های اطلاعاتی می باشند توصیه می کنم که از نوشتن کلمه های عبور به صورت Text در بانک اطلاعاتی خودداری کنند و از اسکریپت های Encode کردن کلمه عبور استفاده نمایند .
الگوریتم های زیادی برای encode کردن کلمه های عبور وجود دارند اما شاید بسیاری از آنها به سادگی قابل فهم باشند و تاثیر چندانی بروی کار شناسایی کلمه عبور توسط نفوذگر نداشته بانشد . پس توصیه می کنم از الگوریتم هایی استفاده کنید که برگشت ناپذیر می باشند تا امکان دسترسی نفوذگر به اصل کلمه عبور از مسیر بازگشت در الگوریتم را از وی سلب کنید .
برخی از دوستان با ارسال نامه و یا در سایتهایشان انتقاد کرده اند که مسائل مطرح شده توسط من روش های هک نیست ! جالب است بدانید بر طبق گزارشی تزریق توسط SQL در سال گذشته منجر به نفوذ در بیش از 180 سایت بزرگ خارجی بوده است . نفوذگران برای ورود به سایت ها از نقاط ضعف آنها استفاده می کنند و این مهم نیست که این نقطه ضعف امکان تزریق SQL باشد یا قابلیت دریافت بانک اطلاعاتی و یا وجود پورت های باز بر روی سرور میزبان ! نفوذ گر به دنبال ساده ترین راهها نفوذ هست . نفوذ را هیچگاه پیچیده تصور نکنید .
مرکز داده
دولت امریکا به منظور ارتقای ضریب ایمنی مراکز اطلاعاتی خود بانکهای اطلاعاتی و کارگزاران شبکه ( Servers ) خود را در مکان‌های با ا منیت بالا نگهداری می‌کند. بعضی از این اماکن محوطه‌های وسیعی در اعماق کوههای راکی، در نقاط پنهانی از اعماق صحرا ها ی نوادا وآریزونا، در زیر یخچال‌های آلاسکا و در اعماق اقیانوس‌ها می‌باشند.
این نقاط با شدیدترین تدابیر امنیتی حفاظت می‌شو ند از طرف دیگر پیش‌بینی‌های ایمنی تهدیدات فیزیکی ، از جمله آتش سوزی و بلایای طبیعی را به حداقل رسانده است. تجهیزات حفاظتی ، امکان دستبرد و یا آسیب هوشمندانه فیزیکی را کاهش داده است. در این اماکن خطوط متعدد فیبرنوری با پهنای باند بالا بالاترین سرعت انتقال داده و اطلاعات را تأمین می‌کنند. تجهیزات پرسرعت مانند سوپر کامپیوترها ( Main Frame ) و پردازنده‌های بسیار سریع و موازی بالاترین سرعت دسترسی را در اختیار می‌گذارند. سیستمهای پیشرفته تنظیم دما و حرارت، تنظیم رطوبت و کنترل ترکیبات هوای محیط بهینه‌ترین شرایط را برای کار تجهیزات مهیا می سازند و تجهیزات مانیتورینگ دقیق، لحظه به لحظه وضعیت‌های مختلف را کنترل و بازنگری می‌کن ن د. بناهای مستحکم در اعماق زمین نه تنها توان تحمل شدیدترین زلزله‌ها را دارند، بلکه در مقابل قویترین بمب‌های هسته‌ای موجود آسیبی نمی‌بینند. سیستمهای پشتیبان، از اطلاعات در فواصل زمانی مشخص بر طبق آخرین تکنیک‌های موجود نسخه‌های پشتیبان تهیه می‌کنند. ژنراتورها و مولد های قوی برق( UPS )، آماده تأمین نیروی برق لازم در صورت بروز اختلال می‌باشند و پوشش‌های مخصوص، تجهیزات را از تهدید امواج مختلف از قبیل امواج ماکروویو و یا میدان‌های الکترومغناطیسی خارج ی یا تولید شده از خود تجهیزات محافظت می‌کنند.
به هر یک از این مراکز، مرکز داده‌ای ( Data Center ) گفته می‌شود. در کنار هر مرکز داده‌ای دو مرکز دیگر آماده انجام عملیات می‌باشند. یکی مرکز بازیافت اطلاعات آسیب دیده ( Disaster Recovery center ) است که فعالیتهای آنها در قالب کلی بازیافت داده ( Data Recovery ) می‌گنجد که خود مقوله بسیار مهمی است که از ضروری‌ترین نیازهای هر ارگان و تشکل مرتبط با اطلاعات می‌باشد.
مرکز دوم مرکز کنترل و فرمان است که مدیریت انسانی مرکز داده‌ای را به عهده دارد ، در این مرکز افرادی با تخصص بالا و با دستمزدهای بسیار بالا کار می‌کنند. بانک‌ها اطلاعاتی و سرورهای مربوط به زیرساخت‌های این کشور از قبیل شبکه برق، آب و نیز اطلاعات شرکت‌ها ی دولتی ی ا خصوصی حساس مثل شرکت‌های اسلحه‌سازی و یا اطلاعات بانک‌ها در این مراکز نگهداری می‌شود