GuilleSQL :: Microsoft SQL Server, SSIS, y más !!

Por qué Firmar Digitalmente Procedimientos Almacenados en SQL Server


Desde SQL Server 2005 tenemos la posibilidad de firmar digitalmente nuestros Procedimientos Almacenados utilizando la sentencia ADD SIGNATURE, algo que dicho así parece una chorrada simple e inútil, pero que realmente se presenta como una opción muy interesante, tanto para controlar si nuestro código ha sido alterado (ej: en el caso de los ISV), como para evitar tener que conceder permisos directos sobre las tablas si estamos utilizando Procedimientos Almacenados con código SQL Dinámico (vital, para protegernos de SQL Injection).

Firmar un Procedimiento Almacenado, no sólo nos permitirá poder comprobar en un futuro sí ha sido alterado o no, sino que además, nos permitirá poder utilizar SQL Dinámico dentro de nuestros Procedimientos Almacenados sin necesidad de conceder permisos sobre las tablas a los usuarios, lo que nos dará un puntito adicional de seguridad, especialmente ante ataques de SQL Injection.

Es fácil de comprender, que una vez que hemos firmado un Procedimiento Almacenado (utilizando ADD SIGNATURE), podremos ver su firma (consultado sys.certificates y sys.crypt_properties). Por lo tanto, podremos tomar nota de ella, y si pasado un tiempo, comprobamos que la firma ha cambiado, probablemente será que el Procedimiento Almacenado también lo ha hecho. Es decir, la utilización de las firmas digitales en este sentido, proporciona un procedimiento sencillo de comprobar rápidamente si nuestro código ha sido modificado, algo especialmente útil para fabricantes de software, para controlas si sus clientes han alterado el código de base de datos.

Sin embargo, quizás la verdadera utilidad es otra, que voy a intentar explicar a continuación.

Uno de los conceptos básicos de seguridad en SQL Server son las Cadenas de Propiedad (Ownership Chains), lo cual quiere decir, que si un usuario tiene permisos de ejecución de un Procedimiento Almacenado, no es necesario que también tenga permisos sobre las tablas a las que accede dicho procedimiento, siempre y cuando tanto el Procedimiento Almacenado como las tablas pertenezcan al mismo Esquema. En consecuencia, cuando un usuario intenta ejecutar un Procedimiento Almacenado, SQL Server comprueba si tiene o no permisos. Sin embargo, si dicho Procedimiento Almacenado necesita acceder a una tabla que pertenece al mismo esquema que el procedimiento, SQL Server omitirá la comprobación de seguridad, es decir, el usuario ejecutará con éxito el procedimiento sin tener permisos sobre las tablas subyacentes. Sin embargo, este comportamiento no se cumple para el código SQL Dinámico que se ejecute dentro de un Procedimiento Almacenado, en cuyo caso, si dicho SQL Dinámico accede a una tabla, el usuario necesitará permisos tanto para ejecutar el procedimiento como para acceder a esa tabla.

En la siguiente pantalla capturada, vemos un caso de ejemplo, en el que un usuario intenta ejecutar dos Procedimientos Almacenados. El usuario sólo tiene permisos de ejecución sobre dichos procedimientos. Ambos procedimientos son similares, pero el primero utiliza SQL Dinámico. Como podemos ver, la ejecución es fallida, al no tener permisos sobre la tabla subyacente.

Un usuario intenta ejecutar dos Procedimientos Almacenados. El usuario sólo tiene permisos de ejecución sobre dichos procedimientos. Ambos procedimientos son similares, pero el primero utiliza SQL Dinámico. Como podemos ver, la ejecución es fallida, al no tener permisos sobre la tabla subyacente

Este escenario resulta algo comprometido, ya que si por algún motivo tenemos Procedimientos Almacenados que utilizan SQL Dinámico, nos veremos obligados a conceder permisos directos sobre las tablas (u otros objetos subyacentes), lo cual es un punto en contra de la seguridad de nuestra base de datos. Pero además, el propio hecho de utilizar SQL Dinámico nos está exponiendo a SQL Injection. Así que, este escenario no mola nada. Y es aquí, donde la Firma Digital de Procedimientos Almacenados viene en nuestra ayuda. Me explico. Lo que podemos hacer es lo siguiente:

  • Crear un Certificado en nuestra Base de Datos (CREATE CERTIFICATE).
  • Crear un Usuario desde el Certificado en nuestra Base de Datos (CREATE USER FROM CERTIFICATE).
  • Concedemos permisos sobre las tablas (u otros objetos subyacentes) al Usuario creado desde el Certificado.
  • Firmamos Digitalmente el Procedimiento Almacenado con el Certificado creado anteriormente (ADD SIGNATURE BY CERTIFICATE).

Sería algo como lo siguiente, tan sólo unas pocas líneas de código.

Ejemplo de utilización de ADD SIGNATURE BY CERTIFICATE

De este modo, ahora un usuario que sólo tenga permisos de ejecución sobre el Procedimiento Almacenado, podrá ejecutarlo sin problemas y sin necesidad de tener concedidos permisos adicionales.

De este modo, ahora un usuario que sólo tenga permisos de ejecución sobre el Procedimiento Almacenado, podrá ejecutarlo sin problemas y sin necesidad de tener concedidos permisos adicionales

No podía faltar un poco de código TSQL, para quien desee descargárselo y probarlo por sí mismo, sirviendo también a modo de ejemplo.

Firmar Digitalmente Procedimientos Almacenados en SQL Server

Por último, aprovecho para añadir algunos enlaces de interés sobre este tema, para quien desee profundizar algo más:

Poco más por hoy. Como siempre, confío que la lectura resulte de interés.

 


[Fecha del Artículo (UTC): 22/10/2013]
[Autor: GuilleSQL]



Escribir un Comentario

Para poder escribir un comentario, debe Iniciar Sesión con un usuario.

Si no dispone de un usuario, puede Registrarse y hacerse miembro.

Si dispone de un usuario, pero no recuerda sus credenciales de acceso, puede Restablecer su Contraseña.

Miembros de
Miembros de GITCA (Global IT Community Association)

Menu de Usuario
  Iniciar Sesión
  Registrarse
  Restablecer Contraseña
  Ventajas de Registrarse

Acerca de
  Contigo desde Oct 2007
  771 usuarios registrados
  86146 pageloads/mes
  Ranking Alexa 498160

Social Networks
Sigue a Portal GuilleSQL en Linkedin !!
Sigue a Portal GuilleSQL en Twitter !!



Archivo

Enero de 2017 (4)
Junio de 2016 (1)
Mayo de 2016 (2)
Abril de 2016 (2)
Septiembre de 2015 (2)
Agosto de 2015 (2)
Junio de 2015 (10)
Mayo de 2015 (4)
Abril de 2015 (8)
Marzo de 2015 (11)
Octubre de 2014 (3)
Septiembre de 2014 (7)
Agosto de 2014 (5)
Julio de 2014 (2)
Mayo de 2014 (4)
Abril de 2014 (4)
Marzo de 2014 (4)
Febrero de 2014 (1)
Enero de 2014 (5)
Diciembre de 2013 (8)
Noviembre de 2013 (2)
Octubre de 2013 (7)
Septiembre de 2013 (6)
Agosto de 2013 (1)
Julio de 2013 (6)
Junio de 2013 (11)
Mayo de 2013 (7)
Abril de 2013 (6)
Febrero de 2013 (5)
Enero de 2013 (7)
Diciembre de 2012 (12)
Noviembre de 2012 (13)
Octubre de 2012 (5)
Septiembre de 2012 (3)
Agosto de 2012 (6)
Julio de 2012 (4)
Junio de 2012 (1)
Mayo de 2012 (2)
Abril de 2012 (7)
Marzo de 2012 (16)
Febrero de 2012 (9)
Enero de 2012 (5)
Diciembre de 2011 (10)
Noviembre de 2011 (10)
Octubre de 2011 (4)
Septiembre de 2011 (5)
Agosto de 2011 (2)
Julio de 2011 (2)
Junio de 2011 (4)
Mayo de 2011 (2)
Abril de 2011 (6)
Marzo de 2011 (4)
Febrero de 2011 (10)
Enero de 2011 (5)
Diciembre de 2010 (6)
Noviembre de 2010 (4)
Octubre de 2010 (8)
Septiembre de 2010 (4)
Agosto de 2010 (1)
Julio de 2010 (3)
Mayo de 2010 (5)
Abril de 2010 (6)
Marzo de 2010 (8)
Febrero de 2010 (3)
Enero de 2010 (1)
Diciembre de 2009 (9)
Noviembre de 2009 (14)
Octubre de 2009 (2)
Septiembre de 2009 (8)
Agosto de 2009 (2)
Julio de 2009 (10)
Junio de 2009 (9)
Mayo de 2009 (10)
Abril de 2009 (9)
Marzo de 2009 (3)
Febrero de 2009 (2)
Enero de 2009 (3)
Noviembre de 2008 (2)
Octubre de 2008 (2)
Septiembre de 2008 (2)
Agosto de 2008 (5)
Julio de 2008 (5)
Junio de 2008 (1)
Mayo de 2008 (3)
Abril de 2008 (2)
Marzo de 2008 (2)
Febrero de 2008 (2)
Enero de 2008 (5)
Noviembre de 2007 (2)
Octubre de 2007 (2)






Esta información se proporciona "como está" sin garantías de ninguna clase, y no otorga ningún derecho.
This information is provided "AS IS" with no warranties, and confers no rights.

Copyright © 2007 GuilleSQL, todos los derechos reservados.
GuilleSQL.com y GuilleSQL.net son también parte de Portal GuilleSQL.

Visitas recibidas (Page Loads) en GuilleSQL (fuente: StatCounter):

screen resolution stats
Visitas