O tunelamento ssh será uma maneira mais simples de resolver o problema da criptografia de links do que stunnel?

Question

Temos um problema de criptografia de uma camada intermediária de fornecedores para um banco de dados Oracle . Podemos usar conexões de banco de dados criptografadas e fizemos isso em 90% dos casos.

Nossa equipe de segurança nos informou que, como essa conexão passa por um link, tudo precisa estar seguro.

Um cliente de banco de dados é um intermediário de fornecedor proprietário para o qual solicitamos atualização com links JDBC SSL criptografados, e eles nos informaram que o prazo para isso é de dois anos. Precisamos ter uma solução de segurança em um período de tempo menor.

Nossa equipe de segurança nos informou que o stunnel pode ser uma possível solução para esse problema. Isso requer a configuração de um servidor, chaves no servidor e um cliente.

Já executamos um servidor ssh na caixa em que o banco de dados Oracle está em execução, com chaves para configuração dos usuários.

Parece-me que o stunnel duplica o padrão do ssh.

1. servidor - servidor stunnel vs servidor ssh
2. configuração da chave do servidor - stunnel configuração de chave vs usuários openssh definindo suas chaves no servidor
3. client - Usando um cliente ssh vs usando um cliente stunnel

O Stunnel pode ser útil em casos em que você não está executando um servidor openssh ou onde deseja um sistema de gerenciamento de chaves diferente.

Agora, talvez esteja faltando alguma coisa na minha análise. Pode haver uma característica do stunnel que eu preciso e não consigo ver.

Minha pergunta é: O tunelamento ssh será uma maneira mais simples de resolver meu problema de criptografia de link do que stunnel?

EDITAR

• Este link já está dentro de uma rede segura. Não é público. Mas são os serviços financeiros - nos quais o modelo de ameaças envolve análise rígida, soft core. Não é bom o suficiente ter um link inseguro dentro de uma rede segura - porque você não confia no interior da sua rede.

Answer 1

Gostaria apenas de criar uma conexão IPSec entre os dois sistemas e não me preocupar com ssh / stunnel.