Configurações da opção NATIVE_NETWORK_ENCRYPTION - Amazon Relational Database Service

Configurações da opção NATIVE_NETWORK_ENCRYPTION

Você pode especificar requisitos de criptografia no servidor e no cliente. A instância de banco de dados pode atuar como um cliente quando, por exemplo, usa um link de banco de dados para se conectar a outro banco de dados. Você pode preferir evitar forçar a criptografia no lado do servidor. Por exemplo, talvez você não queira forçar todas as comunicações do cliente a usar criptografia porque o servidor exige isso. Nesse caso, você pode forçar a criptografia no lado do cliente usando as opções do SQLNET.*CLIENT.

O Amazon RDS é compatível com as configurações a seguir da opção NATIVE_NETWORK_ENCRYPTION.

nota

Ao usar vírgulas para separar valores para uma configuração de opção, não coloque um espaço após a vírgula.

Configuração da opção Valores válidos Valores padrão Descrição

SQLNET.ALLOW_WEAK_CRYPTO_CLIENTS

TRUE, FALSE

TRUE

O comportamento do servidor quando um cliente que usa uma cifra não segura tenta se conectar ao banco de dados. Se for TRUE, os clientes poderão se conectar mesmo que não sejam corrigidos com a PSU de julho de 2021.

Se a configuração for FALSE, os clientes poderão se conectar ao banco de dados somente quando forem corrigidos com a PSU de julho de 2021. Antes de definir SQLNET.ALLOW_WEAK_CRYPTO_CLIENTS para FALSE, certifique-se de que as seguintes condições sejam atendidas:

  • SQLNET.ENCRYPTION_TYPES_SERVER e SQLNET.ENCRYPTION_TYPES_CLIENT têm um método de criptografia correspondente que não é DES, 3DES ou RC4 (todos os comprimentos de chaves).

  • SQLNET.CHECKSUM_TYPES_SERVER e SQLNET.CHECKSUM_TYPES_CLIENT têm um método de soma de verificação segura correspondente que não é MD5.

  • O cliente é corrigido com a PSU de julho de 2021. Se o cliente não for corrigido, o cliente perderá a conexão e receberá o erro ORA-12269.

SQLNET.ALLOW_WEAK_CRYPTO

TRUE, FALSE

TRUE

O comportamento do servidor quando um cliente que usa uma cifra não segura tenta se conectar ao banco de dados. As seguintes cifras são consideradas não seguras:

  • Método de criptografia DES (todos os comprimentos de chave)

  • Método de criptografia 3DES (todos os comprimentos de chave)

  • Método de criptografia RC4 (todos os comprimentos de chave)

  • Método de soma de verificação MD5

Se a configuração for TRUE, os clientes poderão se conectar quando usarem as cifras não seguras anteriores.

Se a configuração for FALSE, o banco de dados impedirá os clientes e se conectarem quando usarem as cifras não seguras anteriores. Antes de definir SQLNET.ALLOW_WEAK_CRYPTO para FALSE, certifique-se de que as seguintes condições sejam atendidas:

  • SQLNET.ENCRYPTION_TYPES_SERVER e SQLNET.ENCRYPTION_TYPES_CLIENT têm um método de criptografia correspondente que não é DES, 3DES ou RC4 (todos os comprimentos de chaves).

  • SQLNET.CHECKSUM_TYPES_SERVER e SQLNET.CHECKSUM_TYPES_CLIENT têm um método de soma de verificação segura correspondente que não é MD5.

  • O cliente é corrigido com a PSU de julho de 2021. Se o cliente não for corrigido, o cliente perderá a conexão e receberá o erro ORA-12269.

SQLNET.CRYPTO_CHECKSUM_CLIENT

Accepted, Rejected, Requested, Required

Requested

O comportamento de integridade de dados quando uma instância de banco de dados se conecta ao cliente ou um servidor atuando como um cliente. Quando uma instância de banco de dados usa um link de banco de dados, ela atua como um cliente.

Requested indica que o cliente não exige que a instância de banco de dados realize uma soma de verificação.

SQLNET.CRYPTO_CHECKSUM_SERVER

Accepted, Rejected, Requested, Required

Requested

O comportamento de integridade de dados quando um cliente, ou um servidor atuando como um cliente, conecta-se à instância de banco de dados. Quando uma instância de banco de dados usa um link de banco de dados, ela atua como um cliente.

Requested indica que a instância de banco de dados não exige que o cliente faça uma soma de verificação.

SQLNET.CRYPTO_CHECKSUM_TYPES_CLIENT

SHA256, SHA384, SHA512, SHA1, MD5

SHA256, SHA384, SHA512

Uma lista de algoritmos de soma de verificação.

É possível especificar um valor ou uma lista de valores separados por vírgulas. Se você usar uma vírgula, não insira um espaço após a vírgula; caso contrário, você receberá um erro InvalidParameterValue.

Este parâmetro e o SQLNET.CRYPTO_CHECKSUM_TYPES_SERVER devem ter uma cifra comum.

SQLNET.CRYPTO_CHECKSUM_TYPES_SERVER

SHA256, SHA384, SHA512, SHA1, MD5

SHA256, SHA384, SHA512, SHA1, MD5

Uma lista de algoritmos de soma de verificação.

É possível especificar um valor ou uma lista de valores separados por vírgulas. Se você usar uma vírgula, não insira um espaço após a vírgula; caso contrário, você receberá um erro InvalidParameterValue.

Este parâmetro e o SQLNET.CRYPTO_CHECKSUM_TYPES_CLIENT devem ter uma cifra comum.

SQLNET.ENCRYPTION_CLIENT

Accepted, Rejected, Requested, Required

Requested

O comportamento de criptografia do cliente quando um cliente, ou um servidor atuando como cliente, se conecta à instância de banco de dados. Quando uma instância de banco de dados usa um link de banco de dados, ela atua como um cliente.

Requested indica que o cliente não exige que o tráfego do servidor seja criptografado.

SQLNET.ENCRYPTION_SERVER

Accepted, Rejected, Requested, Required

Requested

O comportamento de criptografia do servidor quando um cliente, ou um servidor atuando como cliente, se conecta à instância de banco de dados. Quando uma instância de banco de dados usa um link de banco de dados, ela atua como um cliente.

Requested indica que a instância de banco de dados não requer que o tráfego a partir do cliente seja criptografado.

SQLNET.ENCRYPTION_TYPES_CLIENT

RC4_256, AES256, AES192, 3DES168, RC4_128, AES128, 3DES112, RC4_56, DES, RC4_40, DES40

RC4_256, AES256, AES192, 3DES168, RC4_128, AES128, 3DES112, RC4_56, DES, RC4_40, DES40

Uma lista de algoritmos de criptografia usados pelo cliente. Para descriptografar a entrada do servidor, o cliente experimenta cada algoritmo, em ordem, até que um deles seja bem-sucedido ou até atingir o final da lista.

O Amazon RDS usa a seguinte lista padrão do Oracle. O RDS inicia com RC4_256 e segue a sequência na lista. Você pode alterar a ordem ou limitar os algoritmos que a instância de banco de dados aceitará.

  1. RC4_256: RSA RC4 (tamanho da chave de 256 bits)

  2. AES256: AES (tamanho da chave de 256 bits)

  3. AES192: AES (tamanho da chave de 192 bits)

  4. 3DES168: DES triplo de 3 chaves (tamanho da chave efetivo de 112 bits)

  5. RC4_128: RSA RC4 (tamanho da chave de 128 bits)

  6. AES128: AES (tamanho da chave de 128 bits)

  7. 3DES112: DES triplo de 2 chaves (tamanho da chave efetivo de 80 bits)

  8. RC4_56: RSA RC4 (tamanho da chave de 56 bits)

  9. DES: DES padrão (tamanho da chave de 56 bits)

  10. RC4_40: RSA RC4 (tamanho da chave de 40 bits)

  11. DES40: DES40 (tamanho da chave de 40 bits)

É possível especificar um valor ou uma lista de valores separados por vírgulas. Se você usar uma vírgula, não insira um espaço após a vírgula; caso contrário, você receberá um erro InvalidParameterValue.

Este parâmetro e o SQLNET.SQLNET.ENCRYPTION_TYPES_SERVER devem ter uma cifra comum.

SQLNET.ENCRYPTION_TYPES_SERVER

RC4_256, AES256, AES192, 3DES168, RC4_128, AES128, 3DES112, RC4_56, DES, RC4_40, DES40

RC4_256, AES256, AES192, 3DES168, RC4_128, AES128, 3DES112, RC4_56, DES, RC4_40, DES40

Uma lista de algoritmos de criptografia usados pela instância de banco de dados. A instância de banco de dados usa cada algoritmo, em ordem, para tentar descriptografar a entrada do cliente até que um algoritmo seja bem-sucedido ou até atingir o final da lista.

O Amazon RDS usa a seguinte lista padrão do Oracle. Você pode alterar a ordem ou restringir os algoritmos que o cliente aceitará.

  1. RC4_256: RSA RC4 (tamanho da chave de 256 bits)

  2. AES256: AES (tamanho da chave de 256 bits)

  3. AES192: AES (tamanho da chave de 192 bits)

  4. 3DES168: DES triplo de 3 chaves (tamanho da chave efetivo de 112 bits)

  5. RC4_128: RSA RC4 (tamanho da chave de 128 bits)

  6. AES128: AES (tamanho da chave de 128 bits)

  7. 3DES112: DES triplo de 2 chaves (tamanho da chave efetivo de 80 bits)

  8. RC4_56: RSA RC4 (tamanho da chave de 56 bits)

  9. DES: DES padrão (tamanho da chave de 56 bits)

  10. RC4_40: RSA RC4 (tamanho da chave de 40 bits)

  11. DES40: DES40 (tamanho da chave de 40 bits)

É possível especificar um valor ou uma lista de valores separados por vírgulas. Se você usar uma vírgula, não insira um espaço após a vírgula; caso contrário, você receberá um erro InvalidParameterValue.

Este parâmetro e o SQLNET.SQLNET.ENCRYPTION_TYPES_SERVER devem ter uma cifra comum.