Unsafe Mobile Code: Database Access

信頼されていない環境において JDBC でデータベース操作を実行するアプレットにより、データベース認証情報が漏洩する可能性があります。

デフォルトでは、Java アプレットは自身のダウンロード元であるサーバーに対してデータベース接続することが許可されています。信頼される環境では許容されることですが、信頼されていない環境では攻撃者がこのアプレットを使用してデータベース認証情報を入手し、データベースに直接アクセスする可能性があります。
例 1: 次のコードは、ハードコーディングされたデータベースのパスワードがアプレットで使用される例を示しています。

public class CustomerServiceApplet extends JApplet
{
    public void paint(Graphics g)
    {
        ...
        conn = DriverManager.getConnection ("jdbc:mysql://db.example.com/customerDB", "csr", "p4ssw0rd");
        ...

JDBC 認証情報がハードコーディングされたアプレットを使用すると、アプレットのコードはクライアントにダウンロードされるため、認証情報を容易に入手することができます。また、暗号化されていないチャネルでデータベース接続が確立している場合、ネットワークトラフィックを盗聴できさえすれば、認証情報を入手できます。最後に、データベースに直接接続することをユーザーに許可すると、一般ユーザーがアクセス可能なデータベースサーバーが存在していることを知られてしまいます。そのため、攻撃者がネットワークを直接攻撃するためにデータベースをターゲットにする可能性があります。