Varnostni model in meje zaupanja

graph TD
    subgraph P["Delovno mesto: proces aplikacije, pravice uporabnika Windows"]
        A["Aplikacija (Access, DAO, ADO.NET)"] -->|"klic ODBC"| D["Gonilnik Wkl OData"]
        D -->|"bere in shranjuje ključ oziroma geslo"| C["Upravitelj poverilnic Windows (za vsakega uporabnika)"]
        D -->|"sledenje, samo če je vklopljeno"| T["Datoteka sledenja"]
    end
    D -->|"HTTPS: zahteva s prijavo, sejo, identiteto, transakcijo"| S["Storitev OData preveri prijavo in pravice"]
    S -->|"stavek pod prijavo podatkovne zbirke"| B[("Podatkovna zbirka")]

Slika: Gonilnik se izvaja v procesu aplikacije. Med delovnim mestom in storitvijo je omrežna meja, ki jo ščiti TLS; med storitvijo in podatkovno zbirko meja, na kateri storitev odloča, kaj se izvede. Puščice kažejo, kam se pošiljajo prijavni podatki in stavki.

Gonilnik ni varnostni filter. Kaj sme klicatelj brati, spreminjati ali izvajati, odloča izključno storitev; aplikacija, ki gonilnik obide in se na storitev obrne neposredno prek HTTP, ima enake pravice. Gonilnik ščiti prijavne podatke, ki jih hrani, in podatke na poti. Ta stran opisuje, katere ukrepe za to izvede gonilnik, katere mora izvesti storitev, kako preverite vsak ukrep in katera tveganja ostanejo.

• Nobenih gesel in ključev v datoteki Access: prijava Windows in shranjeni osebni ključ ne potrebujeta vrednosti v nizu povezave.
• Skrivnosti samo šifrirano ali lokalno: geslo, osebni ključ in seja se pošiljajo samo prek https ali na lokalni računalnik; sicer gonilnik povezavo prekine, preden karkoli pošlje.
• Skrivnosti samo na naslove povezave: naslednje strani, naslovi iz dokumenta metapodatkov in preusmeritve na drug računalnik ne dobijo prijavnih podatkov, niti prijave Windows.
• Preverjanje potrdil brez izklopa: potrdilo, ki mu Windows ne zaupa, konča povezavo z 08S01.
• Seja 2FA samo v delovnem pomnilniku: konča se s procesom.

Gonilnik posredovanega stavka namerno ne preverja: ali je dopusten, je odvisno od dovoljenj, s katerimi bi se izvedel v podatkovni zbirki, te pa pozna samo storitev. Preverjanje v gonilniku bi bilo poleg tega neučinkovito, ker lahko vsak, ki doseže storitev, stavek pošlje tudi brez gonilnika.

Shranjeni ključ in shranjeno geslo. Če uporabnik v pogovornem oknu izbere “Shrani ključ” oziroma “Shrani geslo”, gonilnik vrednost shrani v upravitelj poverilnic Windows – kot splošno poverilnico z obstojnostjo “lokalni računalnik” (Microsoft: CREDENTIALW, Persist). Iz tega sledi:

• Vrednost velja samo za ta račun Windows na tem računalniku in se ne seli s profilom, shranjenim na strežniku.
• Windows jo ščiti s prijavo uporabnika. Drug uporabnik istega računalnika je ne prebere.
• Vsak program, ki se izvaja z istim računom Windows, jo lahko prebere. Upravitelj poverilnic ne ločuje po programih. Zlonamerna programska oprema v računu uporabnika tako doseže ključ prav tako, kot lahko doseže storitev.

Niz povezave. PWD in APIKEY sta shranjena kot navadno besedilo povsod, kjer je shranjen niz: v datoteki Access, če povezava shrani geslo (dbAttachSavePWD), v programu ali v viru podatkov, ki ga aplikacija zapiše sama. Pogovorno okno za nastavitev gonilnika nikoli ne zapiše gesla v vir podatkov.

Seja 2FA. Gonilnik jo hrani v delovnem pomnilniku procesa, za vsako storitev in prijavo, in je nikamor ne zapiše: ne v vrnjeni niz povezave, ne v sledenje, ne na disk. S koncem procesa je ni več.

Ključ storitve sledi istim pravilom izvora, pošlje pa se tudi prek http na drug računalnik. Kdor uporablja APIKEY ali APIKEYENV, mora https zagotoviti sam.

• Seja poteče med delom. Storitev naslednjo zahtevo zavrne z 401 in izzivom Wkl-Totp, preden karkoli izvede. Gonilnik vpraša za novo kodo in isto zahtevo enkrat pošlje znova – pri spremembi z istim Idempotency-Key in v isti transakciji. Aplikacija brez pogovornega okna dobi 28000; koda, podana s TOTP=, velja samo za prvi izziv.
• Povezava se prekine. Gonilnik zahtevo ponovi po 1 in 3 sekundah: bralne zahteve vedno, spremembe z istim Idempotency-Key. Če storitev ta ključ upošteva, drugi zapis ne nastane. Pretočnega prepustnega stavka ne ponovi nikoli; aplikacija dobi 08S01.
• Transakcija poteče. Če storitev transakcijo po svojem času nedejavnosti razveljavi, SQLEndTran s potrditvijo (Commit) javi 40001; nič iz transakcije ni shranjeno. Glejte Transakcije.

Te tri zaveze veljajo samo, če storitev zahtevo zavrne, preden jo izvede, in upošteva Idempotency-Key (glejte Zahteve za storitev OData). Storitev, ki glavo prezre, lahko po prekinitvi povezave zapis ustvari dvakrat; gonilnik tega ne prepozna.

Meje ukrepov, ki jih morate pri uporabi poznati in sami ublažiti.

Ukrepi te strani zadevajo gonilnik. Varnost celotnega sistema, ki ga sestavljajo gonilnik, storitev in podatkovna zbirka, je enako odvisna od storitve in podatkovne zbirke.

• Standardi in specifikacije – postopki prijave HTTP, TLS, OData
• Niz povezave gonilnika – AUTH, PWD, APIKEY, SESSION
• Vklop sledenja – kaj je v datoteki
• Zahteve za storitev OData – kaj mora storitev zagotavljati