Protection
Cette rubrique décrit les normes prises en charge pour la protection DB2.
Normes de chiffrement pour DB2
Le tableau suivant décrit les normes de chiffrement prises en charge pour DB2.
| Chiffrement | Authentification | Données |
|---|---|---|
| Kerberos | Oui | Non |
| SSL (Secure Sockets Layer) v3 | Oui | Oui |
| TLS (Transport Layer Security) v1 | Oui | Oui |
| AES (Advanced Encryption Standard) | Oui | Non |
Configuration de la protection
Le Fournisseur de données autorise au groupe public DB2 l’exécution sur le package DB2
Quand vous créez des packages DB2, l’outil d’accès aux données et le fournisseur de données définissent les autorisations d’exécution sur les packages DB2 sur PUBLIC, qui comprend tous les utilisateurs DB2. Pour durcir la sécurité sur votre serveur DB2, nous vous recommandons de révoquer les autorisations d’exécution PUBLIC sur ces packages, et de les accorder uniquement aux utilisateurs ou groupes DB2 sélectionnés.
Les outils de données stockent les informations d'authentification sous forme de texte brut dans le fichier UDL (Universal Data Link)
L'Assistant Source de données et les liaisons de données stockent les informations d'authentification (nom d'utilisateur et mot de passe) sous forme de texte brut dans le fichier UDL (Universal Data Link) ou le fichier (TXT) de chaîne de connexion. Nous vous recommandons de configurer le Fournisseur de données de façon à utiliser Enterprise Single Sign-On (ESSO). Ce système permet de stocker de manière sécurisée les mappages des comptes Windows Active Directory avec les informations d’identification IBM DB2. Le Fournisseur de données récupère ces mappages à l’exécution pour authentifier de manière sécurisée les utilisateurs Windows sur les serveurs de base de données IBM DB2 distants. Vous devez exécuter le fournisseur de données in-process avec le consommateur de données et les outils de données.
Le Fournisseur de données se connecte avec un mot de passe et un nom d’utilisateur non chiffrés et en texte brut
Le fournisseur de données se connecte aux ordinateurs serveur DB2 distants sur un réseau TCP/IP ou SNA en utilisant une authentification de base, où le nom d’utilisateur et le mot de passe ne sont pas chiffrés et sont envoyés en texte brut. Nous vous recommandons de configurer le fournisseur de données pour utiliser le chiffrement d’authentification à l’aide de Kerberos, SSL V3.0 ou TLS V1.0, ou à l’aide d’AES.
Le Fournisseur de données envoie et reçoit des données non chiffrées
Le fournisseur de données envoie et reçoit des données non chiffrées. Il est recommandé de configurer le fournisseur de données de manière à ce qu'il utilise le chiffrement de données à l'aide du protocole SSL version 3.0 ou TLS version 1.0.
Les consommateurs de données et les outils de données lisent et écrivent les fichiers de connexion vers et à partir de dossiers non sécurisés
Les consommateurs de données et les outils de données peuvent lire et écrire des fichiers de connexion dans des dossiers non sécurisés. Vous devez stocker les fichiers UDL (Universal Data Link) dans le répertoire Host Integration Server\Data Sources ou dans celui d'un programme, puis sécuriser le dossier avec des droits d'administrateur local. Vous devez conserver les informations de connexion dans les banques d'informations sécurisées des consommateurs de données et des outils de données, puis exécuter le fournisseur de données in-process avec le consommateur de données et les outils de données.
Les consommateurs de données et les outils de données peuvent demander des connexions avec des propriétés non valides
Les consommateurs de données et les outils de données peuvent demander des connexions avec des valeurs de propriété de connexion non valides. Vous devez utiliser les consommateurs de données qui créent des connexions en utilisant les objets de connexion du fournisseur de données au lieu de passer des paires nom/valeur d'arguments de chaîne de connexion non vérifiées. Vous devez définir une valeur de délai de connexion pour annuler les tentatives de connexion non valides.
Les consommateurs de données et les outils de données peuvent demander des commandes avec des données non valides
Les consommateurs de données et les outils de données peuvent demander des commandes avec des données non valides. Vous devez utiliser les consommateurs de données qui créent des commandes en utilisant la commande du fournisseur de données avec des objets de paramètre pour valider les types de paramètre, au lieu de passer des chaînes de commande non vérifiées avec des valeurs de données insérées. Vous devez définir une valeur de délai d’expiration des commandes pour annuler les tentatives de commande non valides. Vous devez utiliser l'unité de travail distribuée (DUW) DRDA à la place de l'unité de travail distante (RUW) pour protéger les consommateurs de données utilisant des transactions de validation en deux phases.