¿Le preocupan las vulnerabilidades de seguridad de SQLite?

Afrontar lo inevitable: Los datos locales persistentes en la periferia ocurrirán

Es indiscutible que la inteligencia de borde crecerá, ya sean aplicaciones móviles que se ejecutan en teléfonos inteligentes, aplicaciones IoT que se ejecutan en coches inteligentes (o los sensores subyacentes), el centro de entretenimiento, sistemas de navegación, etc. Habrá innumerables escenarios móviles y de IoT -tomados en su conjunto, de borde- en los que una aplicación nativa será un mejor enfoque que una aplicación basada en web, o en los que sería ineficiente/potencialmente menos seguro enviar datos en bruto de vuelta desde los puntos de recogida de IoT -en lugar de procesar los datos y almacenar localmente o borrar los datos de entrada.

La complejidad de los procesos y el flujo de trabajo en los extremos, la capacidad de ejecutar análisis en el punto de acción y el trabajo en modos desconectados o con conexiones irregulares son ejemplos de por qué necesitará un almacenamiento de datos local y, por tanto, una base de datos local. Es una conclusión inevitable que los datos asociados a estas aplicaciones se multiplicarán.

Desafortunadamente, lo que es igualmente inevitable es que las vulnerabilidades de seguridad y los ataques oportunistas que se dirigen a estas debilidades aumentarán en el futuro previsible. Se han realizado varios estudios y encuestas en los últimos años que muestran claramente un número mucho mayor de vulnerabilidades de seguridad en el IoT y en el software basado en dispositivos móviles que en plataformas más maduras de ordenadores de sobremesa o portátiles, por no hablar del software que se ejecuta en servidores en el centro de datos. No olvidemos que hace 10 años, cada fallo de seguridad en la nube generaba una sensación de pánico y quizás frenaba la adopción de servicios en la nube. Esto podría muy bien ser donde nos encontramos ahora con lagestion des données localizada y Embarqué gestion des données para dispositivos de borde.

Por ejemplo, durante el fin de semana se descubrió una vulnerabilidad de seguridad muy grave en SQLite y en la versión web de SQLite en Chromium (las raíces de código abierto de Google Chrome). Aunque no se trata de la primera ni de la mayor brecha potencial encontrada en la gestion des données de código abierto -después de todo, el virus Heartbleed de 2014, que se aprovechó de OpenSSL, probablemente ostente ambos récords-, debido a que esta vulnerabilidad está asociada a SQLite, una base de datos casi omnipresente en aplicaciones móviles nativas y basadas en web, y a sus API, deberíamos prepararnos para la reacción instintiva: quizá los datos no deberían almacenarse localmente en dispositivos periféricos y todo debería hacerse en la nube, donde se supone que es más seguro (vaya, cómo han cambiado los tiempos).

Los recortes serían una reacción exagerada

En primer lugar, SQLite es mucho mejor que una combinación de asignación temporal de memoria y sistemas de archivos planos, un enfoque que nunca recomendaría a nadie a quien llame amigo. ¿Por qué? A diferencia de la asignación de memoria y el uso de archivos planos, que proporcionan poca estandarización, indexación incorporada u otra manipulación real de datos, SQLite proporciona soporte de base de datos para la inteligencia de borde.

SQLite es capaz de ejecutarse en un dispositivo para soportar un uso totalmente optimizado de los ressources de calcul locales ressources de calcul, proporcionando a una aplicación la capacidad de manejar gestion des données local gestion des données - pero ofreciendo el mismo conjunto de llamadas API para una versión basada en web de esa misma aplicación, o incluso trabajar tanto en los componentes nativos como web de una aplicación más compleja. Maneja la mayoría de las llamadas SQL API, por lo que también es estándar.

Conformarse también sería una mala elección

Sin embargo, SQLite tiene muchos inconvenientes en comparación con una base de datos comercial Embarqué de nivel empresarial. El más notable es que no incorpora cifrado de données au repos o en tránsito, y mucho menos de 128 bits o superior. También sólo puede Embarquer en una sola aplicación y una sola instancia, por lo tanto, no se puede escalar para soportar múltiples usuarios que necesitan enviar o recibir datos de esa imagen SQLite.

Por ejemplo, si se colocara SQLite en una pasarela y luego varios dispositivos IoT descendentes intentaran escribir datos en esa instancia de SQLite, no hay forma de gestionar más de un cliente (dispositivo IoT descendente) escribiendo en la base de datos SQLite a la vez, un requisito en un entorno IoT a menudo con decenas, cientos o incluso miles de dispositivos descendentes. Sin embargo, las bases de datos cliente-servidor son capaces de manejar cientos o miles de clientes downstream activos; por lo tanto, los usuarios de archivos planos y SQLite siempre deben emparejar sus aplicaciones que envían o reciben datos con MS SQL, mySQL, Oracle, o alguna otra base de datos cliente-servidor. Este emparejamiento garantiza que el reformateo de datos o ETL (Extract, Transform, Load) sea un mal necesario.

Hay tres inconvenientes principales de ETL con los que la mayoría de los arquitectos y desarrolladores de datos luchan: el coste de integración, el rendimiento y la seguridad de los datos. Dejaré los costes y el rendimiento para otro blog, pero merece la pena hablar de la seguridad de los datos. En ausencia de una arquitectura única para la gestión de bases de datos de cliente y servidor, incluso si se dispusiera de cifrado integrado, no habría más remedio que descifrar y volver a cifrar para poder realizar funciones ETL, aunque no hubiera que manipular otros datos. El requisito de descifrar significa que sus cargas útiles de datos están -aunque sea temporalmente- expuestas a los piratas informáticos.

Una forma superior de gestionar con seguridad los datos en la periferia

La familia de bases de datos Actian Zen se basa en una arquitectura única, escalable y segura que permite que Zen se ejecute en máquinas virtuales en la nube, prácticamente en cualquier entorno operativo, desde Windows, Linux y Mac OS como una base de datos cliente-servidor completa hasta Windows IoT Core, distribuciones Raspbian Linux, Android e iOS como una plataforma de gestion des données borde de solo 2 MB. Dado que Actian Zen se ejecuta en prácticamente cualquier cosa con API completamente transferibles (puede utilizar SQL directamente o API NoSQL/SQL mediante programación desde los lenguajes de programación más populares), motor y almacenamiento de archivos subyacente, requiere Zero-ETL. También dispone de cifrado de 192 bits en reposo y en tránsito, con lo que se eliminan tanto los costes de integración como las vulnerabilidades de seguridad de los datos y se aumenta el rendimiento.

Resumen

Cuando se trata de SQLite y las recientes vulnerabilidades de seguridad descubiertas, la respuesta debe ser tapar las vulnerabilidades de seguridad y reducir el riesgo arreglando SQLite o yendo a una solución de clase empresarial superior como Actian Zen. La respuesta no es evitar o restringir severamente la colocación de datos en dispositivos locales. Estas restricciones estrangularán la innovación y los resultados mejorados que sin duda vendrán de la inteligencia Embarqué en el punto de acción. La seguridad en la nube ha experimentado notables mejoras porque los proveedores, los clientes del sector y los organismos de normalización, así como la Administración (especificaciones del NIST, FEDRamp, etc.) han asumido el reto, en lugar de volver a los entornos heredados. Siempre va a haber riesgos, pero de lo que se trata es de gestionarlos pasando de controles estáticos, reactivos y periódicos de la seguridad a un enfoque basado en el riesgo, el diagnóstico continuo y la supervisión. No espere menos con el tiempo para la seguridad de los datos móviles e IoT a medida que los proveedores -como Actian- trabajen juntos para ayudar a los clientes a mantener la calma y la seguridad de sus datos en el Edge.

Si está listo para reconsiderar SQLite, obtenga más información sobre Actian Zen. También puede probar Zen Core, que está libre de derechos de autor para el desarrollo y la distribución.

Acerca de Actian Corporation

Actian hace que los datos sean fáciles. Nuestra plataforma de datos simplifica el modo en que las personas conectan, gestionan y analizan los datos en entornos en la nube, híbridos y locales. Con décadas de experiencia en gestión de datos y análisis, Actian ofrece soluciones de alto rendimiento que permiten a las empresas tomar decisiones basadas en datos. Actian cuenta con el reconocimiento de los principales analistas y ha recibido premios del sector por su rendimiento e innovación. Nuestros equipos comparten casos de uso probados en conferencias (por ejemplo, Strata Data) y contribuyen a proyectos de código abierto. En el blog de Actian, cubrimos temas que van desde la ingestión de datos en tiempo real hasta el análisis impulsado por IA.