Διατηρήστε τις βάσεις δεδομένων MySQL ασφαλείς δημιουργώντας ξεχωριστούς χρήστες και δικαιώματα

Ήμουν πάντα φίλος καλών πρακτικών, πολύ περισσότερο αν μας βοηθούν να διατηρήσουμε την ασφάλεια των διακομιστών, των υπηρεσιών μας ή απλώς των πληροφοριών μας.

Μια συνήθεια (κακή συνήθεια) με την οποία έχουν πρόσβαση πολλοί διαχειριστές ή χρήστες είναι η χρήση της πρόσβασης ρίζα για όλες τις βάσεις δεδομένων, δηλαδή ... εγκαθιστούν έναν ιστότοπο χρησιμοποιώντας το WordPress CMS και ως δεδομένα πρόσβασης στη βάση δεδομένων (για το WP να χρησιμοποιεί το διακομιστή MySQL και να χρησιμοποιεί το DB του) θέτουν το χρήστη διαχείρισης διακομιστή MySQL : ρίζα

Επίσης, εγκαθιστούν οποιαδήποτε άλλη εφαρμογή ιστού (συνομιλία, επικόλληση, φόρουμ κ.λπ.) και κάνουν το ίδιο, χρησιμοποιούν πάντα τον ριζικό χρήστη της MySQL ...

ΛΑΘΟΣ!!!

Αυτή είναι απλώς μια θανατηφόρα συνήθεια.

Ας υποθέσουμε ότι έχουμε τις ακόλουθες υπηρεσίες σε έναν διακομιστή:

1. Ένας ιστότοπος ή μια πύλη που χρησιμοποιεί WordPress.
2. Το φόρουμ υποστήριξής μας, οι συνομιλίες κ.λπ. ... μια ολόκληρη κοινότητα.
3. Ένα FTP που χρησιμοποιεί μια βάση δεδομένων MySQL για την αποθήκευση χρηστών και κωδικών πρόσβασης.
4. Οι χρήστες email αποθηκεύονται (χρήστες και κωδικοί πρόσβασης) σε μια βάση δεδομένων MySQL.
5. Ένα μικρό WebChat που εγκαθιστούμε για συνομιλία με κάποιον που γνωρίζετε.

Και σε όλες αυτές, στις 5 υπηρεσίες χρησιμοποιούμε τον χρήστη root MySQL, έτσι ώστε κάθε υπηρεσία να έχει πρόσβαση και να αποθηκεύει τα δεδομένα στην αντίστοιχη βάση δεδομένων της.

Μια ωραία μέρα, οποιοδήποτε από τα πολλά troll που βρίσκονται στο Διαδίκτυο, αλλά αυτό δεν είναι μόνο ένα troll, αλλά και κυριαρχούν σε ορισμένες εκμεταλλεύσεις, ευπάθειες, hacking, κλπ ... αποφασίζει να κάνει κάτι επιβλαβές για εμάς

Βρείτε ένα σφάλμα στο WebChat που χρησιμοποιούμε, εκμεταλλευόμενο αυτό το σφάλμα, κατάφερε να έχει πρόσβαση σε αρχεία WebChat, συμπεριλαμβανομένου του αρχείου διαμόρφωσης WebChat και… σε αυτό το αρχείο, όπως είναι προφανές, είναι το όνομα χρήστη και ο κωδικός πρόσβασης που χρησιμοποιεί το WebChat πρόσβαση στον διακομιστή MySQL και μαντέψτε τι; … Δεν είναι τίποτα περισσότερο και τίποτα λιγότερο από τον ΡΟΖ ΧΡΗΣΤΗ!

Με τη λήψη αυτών των πληροφοριών, με έναν πολύ απλό τρόπο, το troll μπορεί:

1. Διαγράψτε μας ή / και κλέψτε όλα όσα σχετίζονται με τον ιστότοπο ή την πύλη που έχουμε (WordPress).
2. Μπορείτε να διαγράψετε ή / και να κλέψετε πληροφορίες από εμάς ΚΑΙ από τους χρήστες μας που χρησιμοποιούν το Φόρουμ, την κοινότητα που δημιουργούμε.
3. Μπορείτε επίσης να κλέψετε το όνομα χρήστη και τον κωδικό πρόσβασης ΟΛΩΝ των χρηστών που έχουν λογαριασμό email στο διακομιστή μας, καθώς και να κλέψετε τις πληροφορίες από τα email τους, την πλαστοπροσωπία κ.λπ.
4. Και τώρα, τέλος, μπορείτε να χρησιμοποιήσετε έναν λογαριασμό στον διακομιστή FTP και να ανεβάσετε οποιοδήποτε αρχείο περιέχει κακόβουλο λογισμικό, το οποίο θα σας επέτρεπε να λάβετε ΣΥΝΟΛΟ και ΑΠΟΛΥΤΟ έλεγχο του διακομιστή μας.

Λοιπόν ... τι νομίζετε; … 🙂

Βλέπετε ό, τι μπορεί να συμβεί απλά χωρίς τη δημιουργία ανεξάρτητων χρηστών για κάθε βάση δεδομένων που έχουμε;

Αυτό ΔΕΝ είναι υπερβολή φίλοι, αυτό μπορεί να συμβεί με εκπληκτική ευκολία ... καλά, το μόνο που χρειάζεται για να απελευθερωθεί η καταστροφή είναι απλώς ένα σφάλμα σε ορισμένες από τις εφαρμογές ιστού που έχετε εγκαταστήσει.

Τώρα…

Πώς να δημιουργήσετε ξεχωριστούς χρήστες MySQL για κάθε εφαρμογή ιστού;

Πρώτα πρέπει να εισέλθουμε στον διακομιστή MySQL με τον ριζικό χρήστη, αφού είναι αυτός που έχει τα δικαιώματα να δημιουργήσει βάσεις δεδομένων, να δημιουργήσει δικαιώματα, να δημιουργήσει χρήστες κ.λπ.

mysql -u root -p

Όταν γράφουν τα παραπάνω και πατούν [Εισαγω] θα τους ζητηθεί ο κωδικός πρόσβασης του ριζικού χρήστη της MySQL, τον γράφουν και πατούν [Εισαγω] και πάλι, θα σας δείξει αμέσως κάτι τέτοιο:

Τώρα θα δημιουργήσουμε μια βάση δεδομένων με το όνομα «webchatdb":
CREATE DATABASE webchatdb;

Έτοιμοι, έχετε ήδη δημιουργήσει τη βάση δεδομένων, τώρα ας δημιουργήσουμε τον χρήστη «διαδικτυακός συνομιλητής«Με τον κωδικό πρόσβασης«passworddelputowebchat":

CREATE USER 'webchatuser'@'localhost' IDENTIFIED BY 'passworddelputowebchat';

Τώρα η μαγεία ... θα δώσουμε όλα τα προνόμια (ανάγνωση και εγγραφή) διαδικτυακός συνομιλητής ΜΟΝΟ στο DB webchatdb:

GRANT ALL PRIVILEGES ON webchatdb.* TO 'webchatuser'@'localhost' WITH GRANT OPTION;

Και voila, ο χρήστης έχει ήδη τα δικαιώματα σε αυτήν τη βάση δεδομένων ... τώρα απομένει μόνο να ανανεώσει τα δικαιώματα στη MySQL, δηλαδή, πείτε στη MySQL να ξαναδιαβάσει τα δικαιώματα των χρηστών επειδή μόλις κάναμε μια αλλαγή σε αυτούς:

FLUSH PRIVILEGES ;

Σας αφήνω ένα στιγμιότυπο οθόνης:

Και αυτό ήταν το παν. Κάνοντας αυτό για κάθε εφαρμογή ιστού που χρησιμοποιούμε, εγγυόμαστε ότι σε περίπτωση που καταφέρουν να παραβιάσουν μία από αυτές τις διαδικτυακές εφαρμογές, οι άλλες θα είναι ασφαλείς (τουλάχιστον από την άποψη της MySQL)

Τι είναι μια καλή πρακτική; 😉

Ελπίζω να ήταν τόσο χρήσιμο για σένα όσο και για μένα, γιατί προσπάθησα να το εξηγήσω όσο πιο απλά μπορούσα.

αφορά