Бережіть свої бази даних MySQL у безпеці, створюючи окремих користувачів та дозволи

Я завжди був другом хороших практик, набагато більше, якщо вони допомагають нам підтримувати безпеку наших серверів, служб або просто нашої інформації.

Звичка (шкідлива звичка), яку мають багато адміністраторів або користувачів, - це використовувати доступ корінь для всіх баз даних, тобто ... вони встановлюють сайт за допомогою WordPress CMS, а як доступ до даних до бази даних (щоб WP використовував сервер MySQL та використовував його БД) вони ставлять користувача адміністратора сервера MySQL: root

Крім того, вони встановлюють будь-яку іншу веб-програму (чат, вставку, форум тощо) і роблять те саме, вони завжди використовують кореневого користувача MySQL ...

ПОМИЛКА !!!

Це просто фатальна звичка.

Припустимо, у нас на сервері є такі послуги:

1. Сайт або портал, що використовує WordPress.
2. Наш форум підтримки, бесіди тощо ... ціла спільнота.
3. FTP, який використовує базу даних MySQL для зберігання користувачів та паролів.
4. Користувачі електронної пошти зберігаються (користувачі та паролі) у базі даних MySQL.
5. Невеликий веб-чат, який ми встановлюємо для спілкування з кимось із ваших знайомих.

І в усіх з них, у 5 сервісах ми використовуємо кореневого користувача MySQL, щоб кожна служба отримувала доступ та зберігала дані у відповідній базі даних.

Одного чудового дня будь-який із багатьох тролів, але це не тільки троль, але він також володіє деякими подвигами, уразливостями, злому тощо ... вирішує зробити щось шкідливе для нас.

Знайдіть помилку в WebChat, яку ми використовуємо, скориставшись цією помилкою, їй вдається отримати доступ до файлів WebChat, включаючи файл конфігурації WebChat, і… в цьому файлі, очевидно, є ім’я користувача та пароль, які WebChat використовує для доступу до Сервер MySQL, і вгадайте що? ... Це не більше, ані менше КОРІНОВИЙ КОРИСТУВАЧ!

Отримавши цю інформацію, дуже простим способом троль може:

1. Видаліть нас та / або викрадіть все, що пов’язано з веб-сайтом або порталом, який ми маємо (WordPress).
2. Ви можете видалити та / або викрасти інформацію у нас І у наших користувачів, які користуються форумом, спільнотою, яку ми створюємо.
3. Ви також можете викрасти ім'я користувача та пароль ВСІХ користувачів, які мають обліковий запис електронної пошти на нашому сервері, а також викрасти інформацію з їх електронних листів, видавати себе за особу тощо.
4. І ось нарешті, ви можете скористатися обліковим записом на нашому FTP-сервері та завантажити будь-який файл, що містить шкідливе програмне забезпечення, що дозволить вам отримати ВСЬОГО та АБСОЛЮТНИЙ контроль над нашим сервером.

Ну ... що ти думаєш? ... 🙂

Ви бачите все, що може статися, просто не створюючи незалежних користувачів для кожної бази даних, яку ми маємо?

Це НЕ перебільшення, друзі, це може статися з дивовижною легкістю ... ну, все, що потрібно, щоб розкрити катастрофу - це лише помилка в деяких веб-програмах, які ви встановили.

Зараз ...

Як створити окремих користувачів MySQL для кожної веб-програми?

Спочатку ми повинні увійти на сервер MySQL з кореневим користувачем, оскільки саме він має привілеї створювати бази даних, встановлювати дозволи, створювати користувачів тощо:

mysql -u root -p

Коли вони пишуть вище і натискають [Введіть] їх запитають пароль кореневого користувача MySQL, вони пишуть його та натискають [Введіть] знову ж таки, миттєво вам покажуть щось подібне:

Тепер ми створимо базу даних з назвою «webchatdb":
CREATE DATABASE webchatdb;

Готово, ви вже створили базу даних, тепер давайте створимо користувача «веб-чатузер«З паролем«парольdelputowebchat":

CREATE USER 'webchatuser'@'localhost' IDENTIFIED BY 'passworddelputowebchat';

Тепер магія ... ми надамо всі привілеї (читати та писати) веб-чатузер ТІЛЬКИ в БД webchatdb:

GRANT ALL PRIVILEGES ON webchatdb.* TO 'webchatuser'@'localhost' WITH GRANT OPTION;

І вуаля, користувач вже має дозволи в цій базі даних ... тепер залишається лише оновити дозволи на MySQL, тобто сказати MySQL перечитати привілеї користувачів, тому що ми щойно внесли в них зміни :

FLUSH PRIVILEGES ;

Я залишаю скріншот:

І це було все. Роблячи це для кожної веб-програми, яку ми використовуємо, ми гарантуємо, що у випадку, якщо їм вдасться порушити одну з цих веб-програм, інші будуть у безпеці (принаймні з точки зору MySQL)

Що таке хороша практика? 😉

Сподіваюся, це було для вас настільки корисним, як і для мене, оскільки я намагався пояснити це якомога простіше.

привіт