=== 求助SQL访问连接的安全问题 ===

Question

1、我发布一个单独的工具，采用ODBC连接数据库。可能是远端的机器。
   数据库连接采用:sa (用户名) + *** (密码) 的方式  
2、ODBC本身是采用字节流还是字符流进行传输？
3、连接数据时输入的是明文，那么传输的过程中是不是存在泄密的可能性。
4、SQL SERVER访问本身有没有加密的机制？
5、想考虑下这个工具场景应用的安全性访问数据库的问题。各位高手有没有更好的提议？

Answer 1

2、ODBC本身是采用字节流还是字符流进行传输？
答：字节流
3、连接数据时输入的是明文，那么传输的过程中是不是存在泄密的可能性。
答：可能性肯定是存在的
4、SQL SERVER访问本身有没有加密的机制？
答：SSPI

Answer 2

http://sec.chinabyte.com/498/8607498.shtml

Answer 3

1。绝对不建议用sa去做工具链接数据库的用户名，可以另外设置一个较高权限的用户。
2。你可以将连接字符串+特定字符加密存放在web.config或者app.config文件中，在自己的程序里设置解密算法，虽然有一个解密转换过程，但安全性比明文好很多。
3。安全性不仅仅是一个连接数据库问题，还有很多操作性、管理上的问题，需要事先有一个完整的考虑。就算连接数据库安全了，可是没有一套严格的帐号权限管理制度，或者有了制度不严格执行，结果阿猫阿狗都知道权限了，等于白搭。