Sicherheitslücke über ODBC !?

[Manfred Jaeger]

Hallo SQL - Spezialisten,
Vielleicht könnt ihr erfahrene Progammierer mir einen Tipp zur Sicherheit des SQL-Server geben. Folgende Situation führt aus meiner Sicht zu Unsicherheiten: Eine FrontEnd Access 2000 (Mehrbenutzerumgebung) Datenbank arbeitet mit BackEnd SQL-Server 2000 Tabellen, Sichten, Funktionen.. und kommuniziert über ODBC, alle Rechte werden in Benutzergruppen der Access-Datenbank verwaltet, der SQL-Bereich wird über Windowsautorisierung (Benutzergruppe)zum SQL-Server freigeschaltet. Macht man eine andere Access-Anwendung auf so kommt man ohne Probleme auch über ODBC an die Daten des SQL-Servers. Wie kann man das unterbinden? Anwenderrolle komme ich irgendwie nicht weiter, kann die Access-Anwendung nicht zu Ordnen. Bitte mal überlegen, ob man an der Stelle weiter helfen kann. Brauche die Info dringend und detaliert. Vielen Dank

[Bernhard Geyer]

Wenn Du deine Benutzerverwaltung in die Access-Datenbank legst und die Rechte nicht auf SQL-Server-Seite vergiebst ist das keine ODBC-Sicherheitslücke sondern eine Fehler in deinem Zugriffskonzept. Du kannst jederzeit z.B. auch über ADO direkt auf die Datenbank zugreifen (ohne ODBC) und mit den sehr einfachen Einschränkungen der vergebenen Rechte auf SQL-Server-Seite viel unheil anrichten.

Entweder mußt Du die Berechtigungen auf SQL-Server-Seite vergeben oder falls dieser keine passende Rechtevergabe für dein Problem hat mittels Middle-Tier-Komponenten (z.B. COM+) eine geeigente vom Client nicht manipulierbare Schicht einbauen auf die du dann mit deinem Client zugreifst

[Manfred Jaeger]

Hallo Bernhard vielen Dank, für deine schnelle und informative Antwort. Du hast Recht vom Zugriffskonzept war dies nicht der richtige Weg, bin aber noch "Laie" auf dem Gebiet und werde heute mal mit der EDV einen Zugang mit Clientkonfiguration zum SQL Server einbauen, sodass ein Zugriff nur über Kennwort möglich wird. Wenn ich dies auch über ADO machen kann, wäre ich sehr dankbar dies an einem Beispiel sehen zu können, ist wahrscheinlich mit viel Programmieraufwand verbunden. Viele Grüße aus Göttinge