Protégez vos bases de données MySQL en créant des utilisateurs et des autorisations distincts

J'ai toujours été un ami des bonnes pratiques, bien plus si elles nous aident à maintenir la sécurité de nos serveurs, services ou simplement nos informations.

Une habitude (mauvaise habitude) que de nombreux administrateurs ou utilisateurs ont est d'utiliser l'accès avec racine pour toutes les bases de données, c'est-à-dire ... ils installent un site à l'aide du CMS WordPress, et en tant que données d'accès à la base de données (pour que WP utilise le serveur MySQL et utilise sa base de données), ils mettent l'utilisateur d'administration du serveur MySQL : racine

Aussi, ils installent n'importe quelle autre application web (un chat, un collage, un forum, etc) et font de même, ils utilisent toujours l'utilisateur root de MySQL ...

ERREUR!!!

C'est simplement une habitude fatale.

Supposons que nous ayons les services suivants sur un serveur:

1. Un site ou un portail utilisant WordPress.
2. Notre forum de soutien, nos discussions, etc ... toute une communauté.
3. Un FTP qui utilise une base de données MySQL pour stocker les utilisateurs et les mots de passe.
4. Les utilisateurs de messagerie sont stockés (utilisateurs et mots de passe) dans une base de données MySQL.
5. Un petit WebChat que nous installons pour discuter avec quelqu'un que vous connaissez.

Et dans chacun d'eux, dans les 5 services, nous utilisons l'utilisateur root MySQL afin que chaque service accède et enregistre les données dans sa base de données correspondante.

Un beau jour, l'un des nombreux trolls là-bas, mais ce n'est pas seulement un troll, mais il maîtrise également certains exploits, vulnérabilités, piratage, etc ... décide de nous faire quelque chose de nuisible.

Trouvez un bogue dans le WebChat que nous utilisons, en profitant de ce bogue, il parvient à accéder aux fichiers WebChat, y compris le fichier de configuration WebChat, et… dans ce fichier, comme il est évident, se trouve le nom d'utilisateur et le mot de passe que le WebChat utilise pour accéder au serveur MySQL, et devinez quoi? … Ce n’est ni plus ni moins l’UTILISATEUR ROOT!

En obtenant ces informations, de manière très simple, le troll peut:

1. Supprimez-nous et / ou volez tout ce qui concerne le site ou le portail que nous avons (WordPress).
2. Vous pouvez supprimer et/ou voler des informations de notre part ET de nos utilisateurs qui utilisent le Forum, la communauté que nous créons.
3. Vous pouvez également voler le nom d'utilisateur et le mot de passe de TOUS les utilisateurs qui ont un compte de messagerie sur notre serveur, ainsi que voler les informations de leurs e-mails, usurper l'identité, etc.
4. Et maintenant, enfin, vous pouvez utiliser un compte sur notre serveur FTP, et télécharger tout fichier contenant des logiciels malveillants, ce qui vous permettrait d'obtenir un contrôle ABSOLU et TOTAL de notre serveur.

Bien, qu'en pensez-vous? …

Voyez-vous tout ce qui peut arriver simplement en ne créant pas d'utilisateurs indépendants pour chaque base de données que nous avons?

Ce n'est PAS une exagération mes amis, cela peut arriver avec une facilité incroyable ... eh bien, tout ce qui est nécessaire pour déclencher la catastrophe est juste un bogue dans certaines des applications Web que vous avez installées.

Maintenant…

Comment créer des utilisateurs MySQL séparés pour chaque application Web?

Il faut d'abord entrer dans le serveur MySQL avec l'utilisateur root, car c'est lui qui a les privilèges pour créer des bases de données, établir des permissions, créer des utilisateurs, etc:

mysql -u root -p

Quand ils écrivent ce qui précède et appuient sur [Entrer] Il leur sera demandé le mot de passe de l'utilisateur root MySQL, ils le saisissent et appuient sur [Entrer] encore une fois, vous verrez instantanément quelque chose comme ceci:

Nous allons maintenant créer une base de données nommée «webchatdb":
CREATE DATABASE webchatdb;

Prêt, vous avez déjà créé la base de données, créons maintenant l'utilisateur «utilisateur de chat Web«Avec le mot de passe«mot de passedelputowebchat":

CREATE USER 'webchatuser'@'localhost' IDENTIFIED BY 'passworddelputowebchat';

Maintenant, la magie ... nous allons donner tous les privilèges (lecture et écriture) à utilisateur de chat Web UNIQUEMENT dans la DB webchatdb:

GRANT ALL PRIVILEGES ON webchatdb.* TO 'webchatuser'@'localhost' WITH GRANT OPTION;

Et voilà, l'utilisateur a déjà les autorisations dans cette base de données ... il ne reste plus qu'à actualiser les autorisations sur MySQL, c'est-à-dire à dire à MySQL de relire les privilèges des utilisateurs car nous venons de les modifier:

FLUSH PRIVILEGES ;

Je vous laisse une capture d'écran:

Et cela a été tout. En faisant cela pour chaque application Web que nous utilisons, nous garantissons qu'au cas où ils parviendraient à enfreindre l'une de ces applications Web, les autres seront en sécurité (au moins du point de vue MySQL)

Qu'est-ce qu'une bonne pratique? 😉

J'espère que cela vous a été aussi utile qu'à moi, car j'ai essayé de l'expliquer aussi simplement que possible.

salutations