たてやんっす　　　　長くなっちゃった＆　解決にはいたりませぬ　m(__)m
Takeshi Hiraiさんの
題名「[mysql 04091] myodbc のセキュリティについて」のメールからの引用です
> はじめまして。
> 平井といいます。
> 
> 過去ログを調べましたが、解答となる情報がないようでしたので投稿します。
レンタルサーバとなるとできることが制限されちゃうからだとおもうです

> 図の「?????」のとこのセキュリティを守りたいが可能か？
セキュリティを保ちたいとしても　ソフトを導入できないという制限で
パケットレベルでのセキュリティは無理でしょう
MySQL のポートを接続できるサーバをルータやパケットフィルターで限定する
ぐらいかなぁ（接続のセキュリティだけですね　パケットキャプチャー対策で
はありません）

せめてssh を使えるなら mysqlの接続ポートはインターネット上からはできな
い形にして、sshでポートフォワーディングすれば通信路のセキュリティは保
てるかな（パケット上のデータは垂れ流し状態と比べて安全になるでしょう）

> つまり、顧客とサーバ運営会社は「暗号化によって、申込時の個人情報が流出することはない」
> （語弊があります？）と考えますが、当社とサーバ運営会社の間は、「ザル」ではないかと思うのです。
会社とサーバ運営会社の間の「ザル」をパケットで閲覧できるところが限られ
てるから「まぁいいかぁ」って考え方も一つですね
でもレンタルサーバの同じセグメントのホストたちがパケットキャプチャでき
る環境だったらこの話＝「まぁいいかぁ」は無しですね（スイッチングハブなど
で完全に分離されてるかなどにかかってきます）
ユーザはSSLで接続してるからセキュリティ安心ってごまかされてるってことも
ありなのかぁ(;_;)

もひとつHTTPサーバのCGIなどのセキュリティチェックを万全に検証しないと
思わぬとこからMySQLサーバに接続されちゃうことも考えたほうが良いかも

何処から浸入口ができるか分からない世の中ですから...
bind のバグからの侵入口とかねぇ＝＞リモートでルート権限だからもう何でも
ありって感じ...
（セキュリティ情報には目を向けておく必要があります。MySQLでも古い
バージョン（3.23.31以前）にはバッファーオーバーフローでリモートか
ら接続できてしまうというバグがあります）

あとは「cgi-binにデータおかれてたため顧客情報流出」ってのも
ほんの数日前の出来事でしねぇ（置き場所の問題でMySQLとは無関係）

> もっと具体的に質問しますと、
> １．MYODBCは暗号化してデータの授受ができるか？
レンタルサーバ側で　暗号化のソフトを導入できるかにかかるので
頂いた情報から判断して多分無理でしょう

> ２．１ができないなら別の方法は考えられるか？
顧客情報を入力する部分をjavaなど専用ソフトやプラグインで暗号化してサー
バ上のMySQLサーバでは暗号化されたままってことしか　私は思い浮かばないなぁ
としても　MyODBCで取ってきたあとの復号化とjavaの実装は暗号・復号の両方
実装しなくちゃならないのであんまりいただけないなぁ
（javaアプレットを解析できれば終わりですしね：結局NGだな）

セキュリティと利便性そして費用、この３者のバランスって難しいですよね
費用が安くて最大限のセキュリティと利便性　んー
犠牲になるのはセキュリティですが、これを無視したことによる損害は…
考えると恐ろしい（今のところクラッカー達にすべてなすりつけ？）
=================
  彡彡从        たてやんっす
 d□/□-ｂ      <tateyan@xxxxxxxxxx>
 ヽ"ー"丿