Seguridad

Qué toca, graba y envía LAB256

Una herramienta que pide la contraseña de la base debe responder esto antes de la prueba. Aquí está, sin buscar en las preguntas frecuentes.

Arquitectura sin agente
LAB256 es una aplicación de escritorio que abre conexiones JDBC con la base de datos. No se instala nada en el servidor. Cierras la aplicación y la conexión termina.
Privilegios mínimos
Para monitorear, basta un usuario dedicado de solo lectura. Oracle: acceso de lectura al diccionario (SELECT ANY DICTIONARY, SELECT_CATALOG_ROLE) y EXECUTE sobre DBMS_METADATA para leer DDL. PostgreSQL: el rol pg_monitor y la extensión pg_stat_statements. MySQL: PROCESS, REPLICATION CLIENT y lectura de performance_schema y de algunas tablas del schema mysql. ClickHouse: acceso de lectura a las tablas de sistema. El formulario de conexión muestra un script listo que crea ese usuario; LAB256 lo muestra y nunca lo ejecuta.
Comandos, solo cuando los confirmas
LAB256 cambia una base de datos solo mediante una acción que tú confirmas, como cancelar una sentencia, añadir un datafile, reconstruir un índice, recolectar estadísticas o fijar un plan como baseline. La confirmación muestra la sentencia exacta que se ejecutará; después, la sentencia y la respuesta de la base se muestran de nuevo y se escriben en un diario local. Una acción aparece atenuada, con el motivo, cuando el usuario no tiene el privilegio. Una conexión marcada como de solo lectura no ejecuta nada, y las conexiones etiquetadas como producción empiezan así. No hay startup ni shutdown, ni RMAN, ni DML sobre datos de la aplicación.
Qué se graba
Métricas de rendimiento por conexión: vitales cada 10 segundos por defecto, top SQL y sesiones cada minuto, capacidad y memoria cada 5 minutos, un chequeo de salud por hora y el diario de acciones. Crudo por un día, por minuto por un mes, por hora por hasta un año (365 días por defecto, configurable). Configuración muestra lo que guarda cada conexión, con un interruptor y un borrado para cada una.
Texto SQL desactivado por defecto
El historial guarda identificadores (SQL_ID) y métricas. El texto SQL solo se graba si activas esa opción.
Cifrado en reposo
El archivo de historial está cifrado en reposo. Las contraseñas guardadas de las conexiones se cifran con AES-256-GCM; por defecto la clave está en la misma carpeta. Define la contraseña opcional de la aplicación y la clave se deriva de ella y el archivo de clave se elimina. No hay recuperación: si olvidas la contraseña, las contraseñas guardadas se pierden, aunque las conexiones en sí se conservan.
Qué sale de tu red
Los datos de tus bases nunca salen de tu máquina. La aplicación habla con nuestro servidor para tres cosas. La licencia: activación, desactivación y una comprobación en cada inicio, con la clave de licencia, una identidad de máquina con hash, la plataforma y la versión, más el nombre de la computadora en la activación. La comprobación de actualizaciones: los mismos campos, desactivable en Configuración › Aplicación. Los datos de uso: la apertura de la aplicación, qué pantalla se abre y el tipo de base conectada; activados por defecto, se desactivan en Configuración › Aplicación › Privacidad. Ese interruptor también cubre los informes de error, que la versión actual no envía. Nunca se envían: contenido de las bases, SQL, resultados, nombres de conexión ni contraseñas. Nuestro servidor registra la dirección IP de cada solicitud.
Integridad del instalador
El instalador de Windows y cada ejecutable que contiene están firmados por Dados Inteligentes Ltda. Cada instalador publicado muestra su SHA-256 junto al botón de descarga; verifícalo antes de instalar en un entorno controlado.
Activación offline
Para redes aisladas, en cualquier plan, la licencia se activa por código QR: la aplicación muestra el código, lo abres en cualquier dispositivo con acceso a internet y pegas el resultado de vuelta. La máquina monitoreada nunca tiene que llegar a nuestro servidor, y una licencia activada así se comprueba en la propia máquina.

Ver también