KeeperDB vs. DBeaver: Sicherer Datenbankzugriff im Vergleich

KeeperDB verarbeitet Zugangsdaten unterschiedlich, je nachdem, wie es ausgeführt wird. In der eigenständigen Desktop-App authentifiziert sich der Benutzer mit Face ID oder Windows Hello, und Verbindungen rufen Zugangsdaten direkt aus dem Keeper Secrets Manager ab, sodass Passwörter nicht in den Client eingegeben oder in ihn kopiert werden. Wenn KeeperDB über den Keeper-Tresor oder den KeeperDB Proxy ausgeführt wird, erfolgen Verbindungen vollständig passwortlos. Die Sitzung wird über den Tresor gestartet, die Anmeldedaten werden innerhalb der Zero-Knowledge- und Zero-Trust-Umgebung von Keeper verarbeitet und die gesamte Sitzung läuft in einem Zero-Trust-verschlüsselten Tunnel. Dadurch gelangen weder Anmeldedaten noch andere vertrauliche Informationen auf den lokalen Rechner.

Die Tresor- und Proxy-Pfade beseitigen den häufigsten Angriffsvektor auf Datenbanken: Zugangsdaten, die sich in lokalen Konfigurationsdateien, Umgebungsvariablen oder gemeinsam genutzten Verbindungszeichenfolgen befinden.

Wenn KeeperDB im Tresor ausgeführt wird, zeichnet es jede Datenbanksitzung vollständig auf, mit zentraler Verwaltung im Tresor. Jede Anfrage, jede Aktion, jede Sitzung wird als unveränderlicher Prüfnachweis erfasst. Diese Aufzeichnungen können zur Überwachung, Untersuchungen und Compliance in regulierten Sektoren verwendet werden. KeeperAI enthält auch verschlüsselte Aktivitätszusammenfassungen, was die Prüfung erheblich erleichtert.

Da die Aufzeichnung in den Zugriffspfad des Tresors integriert ist, wird sie automatisch auf jede Sitzung angewendet, sobald KeeperDB über KeeperPAM bereitgestellt wird, ohne dass ein Administrator eine Einstellung pro Sitzung umschalten muss. Die eigenständige Desktop-App ist ein funktionsfähiger Client und zeichnet Sitzungen nicht selbst auf. Teams, die eine vollständige Aufzeichnung benötigen, leiten KeeperDB über den Tresor oder verbinden einen vorhandenen Client über den KeeperDB Proxy.

Bei der Bereitstellung über den Tresor wird der Zugriff auf KeeperDB durch dieselbe zentralisierte Richtlinien-Engine gesteuert wie der Rest von KeeperPAM. Der Datenbankzugriff ist auf Benutzer- und Rollenidentitäten beschränkt, wird per JIT gewährt und ist an die umfassenderen Kontrollen für privilegierten Zugriff des Unternehmens gebunden. Derselbe Tresor, der Passwörter, Geheimnisse und privilegierte Sitzungen verwaltet, steuert auch, wer auf welche Datenbank zugreifen kann.

Das bedeutet, dass der Datenbankzugriff kein isoliertes Silo mit einem eigenen Berechtigungsmodell ist. Der Datenbankzugriff ist nahtlos in die bereits plattformweit etablierten Funktionen für Identity Governance, rollenbasierte Zugriffskontrolle (RBAC) und Genehmigungsworkflows integriert.

Die eigenständige Desktop-App läuft nativ unter macOS, Windows und Linux, und vereint die Leistung einer Desktop-Anwendung mit den Vorteilen eines modernen Datenbank-Clients, der herkömmliche Lösungen übertrifft. Die Authentifizierung erfolgt per Face ID oder Windows Hello. Keeper Secrets Manager ist direkt integriert, sodass Anmeldedaten sicher aus dem Tresor abgerufen werden können. Zudem bietet die Anwendung eine moderne Benutzeroberfläche und einen integrierten KI-Agenten, der mit dem vom Kunden bevorzugten LLM betrieben werden kann. Die Anwendung kann sich direkt mit Anmeldedaten aus dem nativen sicheren Speicher des Betriebssystems verbinden oder Verbindungen über Keeper Tunnels bzw. den KeeperDB Proxy herstellen. Beim KeeperDB Proxy werden die Anmeldedaten Gateway-seitig abgerufen, sodass sie für Benutzer weder sichtbar sind noch manuell eingegeben werden müssen.

Der eingebettete Modus wird vom Keeper-Tresor aus in einem Browser über einen verschlüsselten Zero-Trust-Tunnel gestartet. Es sind kein VPN und keine lokale Einrichtung erforderlich, und die Datenbanksitzung wird visuell in den lokalen Tresor projiziert, ohne direkt auf den Computer des Benutzers zuzugreifen. Diese Konfiguration eignet sich für regulierte Zero-Trust-Umgebungen. Sie ergänzt den bestehenden Client um Sitzungsaufzeichnung, Abfrageprotokollierung, Governance-Funktionen und Just-in-Time-Zugriff (JIT).

KeeperAI ist mit vollständigem Schemakontext in KeeperDB integriert. KeeperAI beantwortet Fragen in natürlicher Sprache, erstellt und führt SQL-Abfragen eigenständig aus, generiert Diagramme aus Live-Ergebnismengen, analysiert vorhandene SQL-Abfragen und unterstützt bei der Behebung von Performanceproblemen anhand der Überwachungsdaten. Schreibgeschützte Abfragen werden automatisch ausgeführt; bei jedem Schreibbefehl wird ein Bestätigungsfenster angezeigt, sodass der Benutzer immer der Genehmiger ist. Serverseitige Sicherheitsmechanismen beschränken KeeperAI auf Datenbankaufgaben und verhindern die Generierung themenfremden Codes, selbst bei Prompt-Injektionsangriffen.

Administratoren können KeeperAI an ihren eigenen Azure OpenAI-, AWS Bedrock- oder Vertex AI-Endpunkt anbinden, sodass Prompts und Schemata ihr Netzwerk niemals verlassen. Wenn KeeperDB im Tresor ausgeführt wird, wird jede KI-ausgeführte Anweisung in der Sitzung auf die gleiche Weise aufgezeichnet wie eine von einem Menschen eingegebene Abfrage.

KeeperDB deckt PostgreSQL, MySQL/MariaDB, SQL Server, Oracle, Redshift und SQLite mit nativen Treibern ab, ohne dass eine ODBC- oder JDBC-Bridge erforderlich ist. Die Schnittstelle umfasst einen Abfrageeditor mit Multi-Statement-Ausführung, ein bearbeitbares Datenraster mit CSV/JSON/SQL-Export, ER-Diagramme und einen Notizblock.

Der Leistungsmonitor ist integriert: Liste aktiver Prozesse, Blockketten, Sperranalyse und Sitzungsbeendigung mit einem Klick über alle unterstützten Engines hinweg, außer bei SQLite.