OS認証がOracleデータベースのセキュリティ低下と見なされるのはなぜですか？

Oracleは、OSに応じて認証を廃止されたOracle Databaseセキュリティ・ガイド言いれ、

REMOTE_OS_AUTHENTパラメータはOracle Database 11gリリース1（11.1）で非推奨となり、下位互換性のためにのみ保持されていることに注意してください。

さらに、ほとんどのセキュリティ情報とツールは、OS（外部）認証をセキュリティの問題と見なし ています。なぜそうなのかを理解しようとしています。OS認証のいくつかの利点を次に示します。

1. OS認証がなければ、アプリケーションは、それぞれ独自のセキュリティモデルと脆弱性を持つさまざまなアプリケーションにパスワードを保存する必要があります。
2. ドメイン認証はすでに安全でなければなりません。そうでない場合、データベースセキュリティはデータベースへのアクセスを遅くするだけで、それを防ぐことはできません。
3. 1つのドメインパスワードのみを覚える必要があるユーザーは、接続する必要があるさまざまなデータベースの数が増えるにつれて、安全性の低いデータベースパスワードを作成するよりも簡単に、より安全なドメインパスワードを作成できます。

次のシナリオを検討してください。

1. gaiusOracleサーバーには外部認証を備えた名前のUnixユーザーがいるため、Oracleには対応するユーザーがありますops$gaius。シェルにログインすると、Oracleスキーマに直接ログインすることもできます。また、cronジョブにはスクリプトにパスワードを埋め込む必要もありません。
2. LANが100％安全であり、クライアントが信頼できることを前提として、リモートOS認証が許可されます（通常許可されるrlogin/ と同じrsh）
3. 攻撃者が何らかの手段でラップトップをLANに接続し、そこで働いていることを認識し、ラップトップでローカルユーザーを作成し、gaiusそのユーザーとしてSQL * Plusを実行します。
4. Oracleは、見ている（つまり、OSUSER中V$SESSION）であるgaiusとログとリモートユーザーops$gaius

それだけでばかばかしいほど簡単に偽装するではないのですが、私の皮肉屋の帽子に入れて、Oracleはあなたに彼らの販売を任意のより多くのお金を作ることができない空想のシングルサインオン製品 ...方法により行いますが、OSの利点として育てるすべてのポイントを満たすにレベル認証。1つよりも2つのパスワードは完全に偽物です。とにかく、ほとんどの人はそれらを同じに設定します（Oracleにはこれを防ぐメカニズムはありません）。

一般的な原則は、攻撃者が物理的にアクセスできる場合、ソフトウェアで防御することは非常に難しいということです。そして、クライアントを決して信頼しません。

単一障害点が増加し、データのリスク表面が拡大します。

システムにアクセスする攻撃者は、OS認証によりデータベースにアクセスできます。データベースへのより安全なアクセスを要求することにより、潜在的な攻撃者は、ユーザーではなくルートまたはオラクルアクセスを取得するために、侵害されたシステムで権限を昇格させる必要があります。

この問題は、データベースへの外部アクセスの機能です。外部アクセスがなく、マシンが完全に保護されている場合、許可の問題は議論の余地があります。ただし、開発者がアクセスできる場合、OSレベルのユーザー権限により、潜在的なセキュリティ障害の範囲が広がります。

多層アクセスを使用してセキュリティ侵害の範囲を制限し、すべてのインスタンスのOSレベルアカウントを作成することなく、ユーザー、アプリケーション、またはクライアントに必要なアクセスを許可することを検討してください。

Gaiusは、リモートオペレーティングシステム認証（ローカルマシンユーザーが別のパスワードを指定せずにデータベースにアクセスできるようにする通常のオペレーティングシステム認証とは対照的に）が比較的安全でない理由をすでに指摘しています。

Oracleは、リモートオペレーティングシステムで認証されたユーザーではなく、エンタープライズユーザー（または本格的なID管理スイート）を使用することを人々に奨励したいので、この方向に進んでいると思います。エンタープライズユーザーには、リモートオペレーティングシステムで認証されたユーザーと同じ利点がありますが、実際にはOracleはユーザーを認証するためにActive Directoryサーバーにアクセスします。セキュリティチェックをクライアントマシンに任せることなく、同じシングルサインオンのメリットを得ることができます。

具体的にはidentスタイル認証を指しますが、データベースや他のログインをOSのログインに結び付ける他の方法も同様に悪いことを指摘したいと思います。（ローカルパスワードファイル、LDAP、または資格情報の実際の保存用のもの）

データベース（またはWebサーバー、または認証を行っているもの）へのリモート接続を許可する場合、一部のOSはアカウントをブルートフォースするのが困難になるように設定されているルールを無視します（たとえば、失敗した試行のIPアドレスをブロックします;ロック一定数のフェルールなどの期間のユーザー。通常、これらのルールはに結び付けられsshd、認証システム全体ではありません。

したがって、誰かがデータベース/ウェブサーバー/リモートに接続できる場合、データベースは試行を遅くする同じメカニズムを持っている傾向がないため、パスワードをブルートフォースすることができ、必要な資格情報を見つけたらsshします。