Zaštitite svoje MySQL baze podataka stvaranjem zasebnih korisnika i dozvola

Uvijek sam bio prijatelj dobre prakse, još više ako nam pomažu u održavanju sigurnosti naših servera, usluga ili jednostavno naših podataka.

Navika (loša navika) koju imaju mnogi administratori ili korisnici je korištenje pristupa korijen za sve baze podataka, to jest ... oni instaliraju web lokaciju koristeći WordPress CMS, a kao pristup podacima bazi podataka (da WP koristi MySQL server i koristi njegovu DB) stavljaju korisnika administracije MySQL servera : root

Također, instaliraju bilo koju drugu web aplikaciju (chat, zalijepi, forum itd.) I rade isto, uvijek koriste matičnog korisnika MySQL-a ...

GREŠKA!!!

Ovo je jednostavno fatalna navika.

Pretpostavimo da na serveru imamo sljedeće usluge:

1. Web lokacija ili portal koji koriste WordPress.
2. Naš forum za podršku, razgovori itd ... cijela zajednica.
3. FTP koji koristi MySQL bazu podataka za pohranu korisnika i lozinki.
4. Korisnici e-pošte pohranjuju se (korisnici i lozinke) u MySQL bazu podataka.
5. Mali WebChat koji instaliramo za čavrljanje s nekim koga poznajete.

I u svim njima, u 5 usluga koristimo osnovnog korisnika MySQL-a tako da svaka usluga pristupa i sprema podatke u odgovarajuću bazu podataka.

Jednog lijepog dana, bilo koji od mnogih trolova vani, ali ovo nije samo trol, već i savladava neke eksploatacije, ranjivosti, hakiranje itd ... odluči učiniti nešto štetno za nas.

Pronađite grešku u WebChatu koji koristimo, iskoristivši ovu grešku, on uspijeva pristupiti WebChat datotekama, uključujući datoteku za konfiguraciju WebChat, i ... u ovoj datoteci je očito korisničko ime i lozinka koje WebChat koristi za pristupiti MySQL serveru i pogodite šta? ... To je ništa više i ništa manje KORIJENI KORISNIK!

Dobivanjem ovih podataka, na vrlo jednostavan način, trol može:

1. Izbrišite nas i / ili ukradite sve što se odnosi na web lokaciju ili portal koje imamo (WordPress).
2. Možete obrisati i / ili ukrasti podatke od nas I od naših korisnika koji koriste Forum, zajednicu koju stvaramo.
3. Takođe možete ukrasti korisničko ime i lozinku SVIH korisnika koji imaju račun e-pošte na našem serveru, kao i podatke iz njihove e-pošte, lažno se predstavljati itd.
4. I konačno, možete koristiti račun na našem FTP serveru i prenijeti bilo koju datoteku koja sadrži zlonamjerni softver, što bi vam omogućilo da preuzmete UKUPNU i APSOLUTNU kontrolu nad našim serverom.

Pa ... šta ti misliš? … 🙂

Vidite li sve što se može dogoditi samo ne stvaranjem neovisnih korisnika za svaku bazu podataka koju imamo?

Ovo NIJE pretjerivanje, prijatelji, to se može dogoditi s nevjerovatnom lakoćom ... pa, sve što je potrebno za oslobađanje katastrofe je samo greška u nekim web aplikacijama koje ste instalirali.

Sad…

Kako stvoriti zasebne MySQL korisnike za svaku web aplikaciju?

Prvo moramo ući u MySQL server s root korisnikom, jer on ima privilegiju za stvaranje baza podataka, uspostavljanje dozvola, kreiranje korisnika itd.:

mysql -u root -p

Kada napišu gornje i pritisnu [unesite] od njih će se tražiti lozinka MySQL root korisnika, oni je napišu i pritisnu [unesite] opet, odmah će vam biti prikazano nešto poput ovog:

Sada ćemo stvoriti bazu podataka pod nazivom «webchatdb":
CREATE DATABASE webchatdb;

Spremni, već ste kreirali bazu podataka, sada kreirajmo korisnika «webchatuser«Sa lozinkom«passworddelputowebchat":

CREATE USER 'webchatuser'@'localhost' IDENTIFIED BY 'passworddelputowebchat';

Sad je magija ... dat ćemo sve privilegije (čitati i pisati) webchatuser SAMO u DB-u webchatdb:

GRANT ALL PRIVILEGES ON webchatdb.* TO 'webchatuser'@'localhost' WITH GRANT OPTION;

I voila, korisnik već ima dozvole u toj bazi podataka ... sada ostaje samo osvježiti dozvole za MySQL, odnosno reći MySQL-u da ponovno pročita privilegije korisnika, jer smo upravo napravili promjenu u njima:

FLUSH PRIVILEGES ;

Ostavljam vam snimak zaslona:

I ovo je bilo sve. Radeći to za svaku web aplikaciju koju koristimo, garantiramo da će u slučaju da uspiju prekršiti jednu od tih web aplikacija, ostale biti sigurne (barem s gledišta MySQL)

Šta je dobra praksa? 😉

Nadam se da je i vama bilo korisno kao i meni jer sam to pokušao objasniti najjednostavnije što sam mogao.

Saludos