Külön felhasználók és engedélyek létrehozásával tartsa biztonságban MySQL adatbázisait

Mindig a jó gyakorlatok barátja voltam, még inkább, ha ezek segítenek nekünk szervereink, szolgáltatásaink vagy egyszerűen csak információink biztonságának fenntartásában.

Sok rendszergazda vagy felhasználó szokása (rossz szokása), hogy használja a hozzáférést gyökér minden adatbázis esetében, vagyis ... telepítenek egy webhelyet a WordPress CMS segítségével, és az adatbázis elérési adataként (hogy a WP használhassa a MySQL szervert és a DB-jét) a MySQL szerver adminisztrációs felhasználót: root

Ezenkívül telepítenek bármilyen más webalkalmazást (chatet, beillesztést, fórumot stb.), És ugyanezt teszik, mindig a MySQL root felhasználóját használják ...

HIBA!!!

Ez egyszerűen végzetes szokás.

Tegyük fel, hogy a következő szolgáltatásokkal rendelkezünk egy szerveren:

1. Webhely vagy portál a WordPress használatával.
2. Támogatási fórumunk, beszélgetéseink stb. ... egy egész közösség.
3. Olyan FTP, amely MySQL adatbázist használ a felhasználók és a jelszavak tárolására.
4. Az e-mail felhasználókat (felhasználókat és jelszavakat) egy MySQL adatbázis tárolja.
5. Egy kis WebChat, amelyet telepítünk, hogy beszélgethessünk valakivel, akit ismer.

És mindegyikben az 5 szolgáltatásban a MySQL root felhasználóját használjuk, hogy minden szolgáltatás elérje és elmentse az adatokat a megfelelő adatbázisába.

Egy szép napon a sok troll közül bármelyik odakinn van, de ez nemcsak troll, hanem elsajátít néhány kihasználást, sebezhetőséget, hackelést stb. ... úgy dönt, hogy valami károsat tesz nekünk.

Keressen egy hibát a WebChatban, amelyet használunk, kihasználva ezt a hibát, képes elérni a WebChat fájlokat, beleértve a WebChat konfigurációs fájlt is, és ... ebben a fájlban nyilvánvalóan az a felhasználónév és jelszó, amelyet a WebChat használ a MySQL szerver, és kitalálod? ... Ez nem több és nem kevesebb, mint a GYÖKÉR FELHASZNÁLÓ!

Ezen információk megszerzésével a troll nagyon egyszerű módon:

1. Töröljön minket és / vagy lopjon el mindent, ami a mi webhelyünkkel vagy portálunkkal kapcsolatos (WordPress).
2. Törölhet és / vagy ellophat információkat tőlünk ÉS a Fórumot használó felhasználóinktól, az általunk létrehozott közösségtől.
3. Ellophatja mindazon felhasználók felhasználónevét és jelszavát is, akiknek van e-mail fiókjuk a szerverünkön, valamint lophatjuk el az információkat az e-mailjeikről, megszemélyesíthetjük stb.
4. És most végre használhat egy fiókot az FTP-kiszolgálónkon, és feltölthet minden olyan fájlt, amely rosszindulatú programokat tartalmaz, ami lehetővé tenné számunkra, hogy abszolút és ÖSSZESEN irányítsák szerverünket.

Nos ... mit gondolsz? … 🙂

Lát mindent, ami történhet, ha nem hoz létre független felhasználókat minden egyes adatbázisunkhoz?

Ez NEM túlzás, barátok, ez elképesztő könnyedséggel történhet ... nos, a katasztrófa kiváltásához csak a telepített webalkalmazások hibája szükséges.

Most…

Hogyan lehet külön MySQL felhasználókat létrehozni minden webalkalmazáshoz?

Először be kell lépnünk a MySQL szerverbe a root felhasználóval, mivel ő jogosult adatbázisok létrehozására, engedélyek létrehozására, felhasználók létrehozására stb .:

mysql -u root -p

Amikor megírják a fentieket és megnyomják [Belép] Megkérdezik tőlük a MySQL root felhasználó jelszavát, kiírják és megnyomják [Belép] ismét azonnal valami ilyesmit mutat:

Most létrehozunk egy adatbázist «webchatdb„:
CREATE DATABASE webchatdb;

Kész, már létrehozta az adatbázist, most folytassuk a felhasználó létrehozásával «webkiszolgáló«Jelszóval«jelszódelputowebchat„:

CREATE USER 'webchatuser'@'localhost' IDENTIFIED BY 'passworddelputowebchat';

Most a varázslat ... megadjuk az összes kiváltságot (olvasás és írás) webkiszolgáló CSAK a DB-ben webchatdb:

GRANT ALL PRIVILEGES ON webchatdb.* TO 'webchatuser'@'localhost' WITH GRANT OPTION;

És voila, a felhasználónak már megvannak az engedélyei abban az adatbázisban ... most már csak a MySQL engedélyeinek frissítése marad, vagyis mondja meg a MySQL-nek, hogy olvassa át a felhasználók privilégiumait, mert most változtattunk rajtuk:

FLUSH PRIVILEGES ;

Hagyok egy képernyőképet:

És ez minden volt. Ezzel az egyes általunk használt webalkalmazásokra garantáljuk, hogy amennyiben sikerül megsérteniük az egyik webalkalmazást, a többi biztonságban lesz (legalábbis a MySQL szempontjából)

Mi a jó gyakorlat? 😉

Remélem, hogy ez ugyanolyan hasznos volt számodra, mint nekem, mivel megpróbáltam a lehető legegyszerűbben elmagyarázni.

Üdvözlet