Udržujte své databáze MySQL v bezpečí vytvořením samostatných uživatelů a oprávnění

Vždy jsem byl přítelem osvědčených postupů, mnohem více, pokud nám pomohou udržet bezpečnost našich serverů, služeb nebo jednoduše našich informací.

Zvyk (špatný zvyk), který má mnoho správců nebo uživatelů, je používat přístup kořen pro všechny databáze, to znamená ... instalují web pomocí WordPress CMS a jako přístupová data do databáze (pro WP pro použití serveru MySQL a použití jeho databáze) umístí administrátora serveru MySQL: root

Také instalují jakoukoli jinou webovou aplikaci (chat, paste, forum atd.) A dělají totéž, vždy používají root uživatele MySQL ...

CHYBA!!!

To je prostě osudový zvyk.

Předpokládejme, že máme na serveru následující služby:

1. Web nebo portál využívající WordPress.
2. Naše fórum podpory, rozhovory atd ... celá komunita.
3. FTP, který k ukládání uživatelů a hesel používá databázi MySQL.
4. Uživatelé e-mailu jsou uloženi (uživatelé a hesla) v databázi MySQL.
5. Malý WebChat, který instalujeme, abychom mohli chatovat s někým, koho znáte.

A ve všech z těchto 5 služeb používáme uživatele root MySQL, takže každá služba přistupuje a ukládá data do odpovídající databáze.

Jednoho krásného dne se kdokoli z mnoha trolů venku, ale nejedná se pouze o trolla, ale také ovládá některé exploity, zranitelnosti, hackování atd ... rozhodne se udělat něco škodlivého pro nás.

Najděte chybu ve WebChatu, který používáme, s využitím této chyby se mu podaří získat přístup k souborům WebChat, včetně konfiguračního souboru WebChat, a… v tomto souboru je samozřejmě uživatelské jméno a heslo, které WebChat používá pro přístup k MySQL server a hádejte co? … Není to nic víc a nic méně KOŘENOVÝ UŽIVATEL!

Získáním těchto informací může velmi jednoduchým způsobem troll:

1. Smažte nás nebo ukradněte vše, co souvisí s webem nebo portálem, který máme (WordPress).
2. Můžete nám smazat a / nebo ukrást informace A od našich uživatelů, kteří používají fórum, komunitu, kterou vytváříme.
3. Můžete také ukrást uživatelské jméno a heslo VŠECH uživatelů, kteří mají na našem serveru e-mailový účet, a také ukrást informace z jejich e-mailů, vydávat se za jiné atd.
4. A teď konečně můžete použít účet na našem FTP serveru a nahrát jakýkoli soubor obsahující malware, který vám umožní získat ABSOLUTNÍ a TOTÁLNÍ kontrolu nad naším serverem.

No ... co si myslíš? … 🙂

Vidíte vše, co se může stát, když nevytvoříte nezávislé uživatele pro každou databázi, kterou máme?

To NENÍ přehnané, přátelé, toto se může stát s úžasnou lehkostí ... no, vše, co je potřeba k rozpoutání katastrofy, je jen chyba v některých webových aplikacích, které jste nainstalovali.

Nyní…

Jak vytvořit samostatné uživatele MySQL pro každou webovou aplikaci?

Nejprve musíme vstoupit na server MySQL s uživatelem root, protože on je ten, kdo má oprávnění k vytváření databází, vytváření oprávnění, vytváření uživatelů atd .:

mysql -u root -p

Když napíšou výše a stisknou [Enter] Budou požádáni o heslo uživatele root MySQL, zadají jej a stisknou [Enter] opět se vám okamžitě zobrazí něco jako toto:

Nyní vytvoříme databázi s názvem «webchatdb„:
CREATE DATABASE webchatdb;

Připraveno, databázi jste již vytvořili, nyní vytvořme uživatele «webchatuser«S heslem«heslodelputowebchat„:

CREATE USER 'webchatuser'@'localhost' IDENTIFIED BY 'passworddelputowebchat';

Nyní kouzlo ... dáme všechna oprávnění (čtení a zápis) webchatuser POUZE v DB webchatdb:

GRANT ALL PRIVILEGES ON webchatdb.* TO 'webchatuser'@'localhost' WITH GRANT OPTION;

A voila, uživatel již má oprávnění v této databázi ... nyní zbývá pouze obnovit oprávnění k MySQL, to znamená, říct MySQL, aby znovu přečetl oprávnění uživatelů, protože jsme v nich právě provedli změnu:

FLUSH PRIVILEGES ;

Nechám vám screenshot:

A toto bylo všechno. Tím, že to uděláme pro každou webovou aplikaci, kterou používáme, zaručujeme, že v případě, že se jim podaří některou z těchto webových aplikací porušit, ostatní budou v bezpečí (alespoň z pohledu MySQL)

Co je to osvědčený postup? 😉

Doufám, že to pro vás bylo stejně užitečné jako pro mě, protože jsem se to snažil vysvětlit co nejjednodušeji.

pozdravy