Zaštitite svoje MySQL baze podataka stvaranjem zasebnih korisnika i dozvola

Uvijek sam bio prijatelj dobrih praksi, puno više ako nam pomažu u održavanju sigurnosti naših poslužitelja, usluga ili jednostavno naših podataka.

Navika (loša navika) koju imaju mnogi administratori ili korisnici jest korištenje pristupa korijen za sve baze podataka, to jest ... oni instaliraju web stranicu koristeći WordPress CMS, a kao pristup podacima bazi podataka (da WP koristi MySQL poslužitelj i koristi njegov DB) stavljaju korisnika administracije MySQL poslužitelja: root

Također, instaliraju bilo koju drugu web aplikaciju (chat, zalijepi, forum itd.) I rade isto, uvijek koriste matičnog korisnika MySQL-a ...

POGREŠKA !!!

Ovo je jednostavno kobna navika.

Pretpostavimo da na poslužitelju imamo sljedeće usluge:

1. Web mjesto ili portal koji koristi WordPress.
2. Naš forum za podršku, razgovori itd ... cijela zajednica.
3. FTP koji koristi MySQL bazu podataka za pohranu korisnika i lozinki.
4. Korisnici e-pošte pohranjuju se (korisnici i lozinke) u MySQL bazu podataka.
5. Mali WebChat koji instaliramo za čavrljanje s nekim koga poznajete.

I u svim njima, u 5 usluga koristimo korijenskog korisnika MySQL-a tako da svaka usluga pristupa i sprema podatke u odgovarajuću bazu podataka.

Jednog lijepog dana, bilo koji od mnogih trolova vani, ali ovo nije samo trol, već svladava i neke eksploatacije, ranjivosti, hakiranje itd. ... odluči učiniti nešto štetno za nas.

Pronađite grešku u WebChatu koji koristimo, iskoristivši ovu grešku, uspijeva pristupiti datotekama WebChat-a, uključujući konfiguracijsku datoteku WebChat-a, i ... u ovoj je datoteci očito korisničko ime i lozinka koje WebChat koristi za pristup MySQL poslužitelj, i pogodite što? ... To je ništa više i ništa manje KORIJENSKI KORISNIK!

Dobivanjem ovih podataka, na vrlo jednostavan način, trol može:

1. Izbrišite nas i / ili ukradite sve što se odnosi na web mjesto ili portal koje imamo (WordPress).
2. Možete brisati i / ili krasti podatke od nas I od naših korisnika koji koriste Forum, zajednicu koju stvaramo.
3. Također možete ukrasti korisničko ime i lozinku SVIH korisnika koji imaju račun e-pošte na našem poslužitelju, kao i podatke iz njihove e-pošte, lažno se predstavljati itd.
4. I konačno, možete koristiti račun na našem FTP poslužitelju i prenijeti bilo koju datoteku koja sadrži zlonamjerni softver koji će vam omogućiti da preuzmete UKUPNU i APSOLUTNU kontrolu nad našim poslužiteljem.

Pa ... što ti misliš? … 🙂

Vidite li sve što se može dogoditi samo ne stvaranjem neovisnih korisnika za svaku bazu podataka koju imamo?

Ovo NIJE pretjerivanje, prijatelji, to se može dogoditi s nevjerojatnom lakoćom ... pa, sve što je potrebno za pokretanje katastrofe je samo greška u nekim web aplikacijama koje ste instalirali.

Sada…

Kako stvoriti zasebne MySQL korisnike za svaku web aplikaciju?

Prvo moramo ući u MySQL poslužitelj s root korisnikom, jer on ima privilegiju za stvaranje baza podataka, uspostavljanje dozvola, stvaranje korisnika itd.:

mysql -u root -p

Kad napišu gornje i pritisnu [Unesi] Tražit će se lozinka korijenskog korisnika MySQL-a, upišu je i pritisnu [Unesi] opet, odmah će vam biti prikazano nešto poput ovoga:

Sada ćemo stvoriti bazu podataka pod nazivom «webchatdb„:
CREATE DATABASE webchatdb;

Spremni, već ste stvorili bazu podataka, idemo sada na stvaranje korisnika «webchatuser«S lozinkom«lozinkadelputowebchat„:

CREATE USER 'webchatuser'@'localhost' IDENTIFIED BY 'passworddelputowebchat';

Sad je magija ... dat ćemo sve privilegije (čitati i pisati) webchatuser SAMO u DB-u webchatdb:

GRANT ALL PRIVILEGES ON webchatdb.* TO 'webchatuser'@'localhost' WITH GRANT OPTION;

I voila, korisnik već ima dozvole u toj bazi podataka ... sada ostaje samo osvježiti dozvole za MySQL, odnosno reći MySQL-u da ponovno pročita privilegije korisnika, jer smo u njih upravo promijenili:

FLUSH PRIVILEGES ;

Ostavljam snimku zaslona:

I ovo je bilo sve. Čineći to za svaku web aplikaciju koju koristimo, garantiramo da će u slučaju da uspiju prekršiti jednu od tih web aplikacija, ostale biti sigurne (barem s gledišta MySQL)

Što je dobra praksa? 😉

Nadam se da je i vama bilo korisno kao i meni jer sam to pokušao objasniti najjednostavnije što sam mogao.

pozdravi