[Muss wissen, muss wissen] Fünf wichtige Sicherheitstipps, die Sie beachten sollten, um MySQL zu stärken

Die Datenbank ist seit langem ein wichtiger Teil Ihrer ausgewogenen Architektur und wohl der wichtigste Teil. Heutzutage liegt der Druck in Ihrer weitgehend verfügbaren und zustandslosen Infrastruktur, was eine größere Belastung für die Zuverlässigkeit und Sicherheit Ihrer Datenbank darstellt, da alle anderen Server zwangsläufig dort zusammen mit den übrigen Daten gespeichert werden die Datenbank.

Ihre Datenbank ist der Preis eines jeden Angreifers. Da Angriffe immer ausgefeilter und Netzwerke immer feindseliger werden, ist es wichtiger denn je, zusätzliche Maßnahmen zur Absicherung Ihrer Datenbank zu ergreifen.

MySQL ist aufgrund seiner Geschwindigkeit und allgemeinen Benutzerfreundlichkeit die beliebteste und beliebteste Datenbank unter Entwicklern und Administratoren. Leider geht diese Benutzerfreundlichkeit auf Kosten der Sicherheit. Obwohl MySQL mit strengen Sicherheitskontrollen konfiguriert werden kann, verwendet Ihre normale MySQL-Standardkonfiguration diese möglicherweise nicht. In diesem Artikel beschreibe ich fünf wichtige Schritte, die Sie unternehmen sollten, um Ihre MySQL-Datenbank zu härten.

Schritt eins: Legen Sie ein sicheres Passwort fest

Für alle Datenbankbenutzer ist es wichtig, sichere Passwörter zu verwenden. Da sich die meisten Benutzer nicht oft manuell bei einer Datenbank anmelden, verwenden Sie einen Passwort-Manager oder das Befehlszeilentool pwgen, um ein zufälliges 20-stelliges Passwort für Ihr Datenbankkonto zu erstellen. Dies ist auch dann wichtig, wenn Sie zusätzliche MySQL-Zugriffskontrollen verwenden, um einzuschränken, wo sich bestimmte Konten anmelden können (z. B. indem Sie Konten strikt auf „localhost“ beschränken).

Das wichtigste MySQL-Konto, für das Sie ein Passwort festlegen müssen, ist der Root-Benutzer. Auf vielen Systemen hat dieser Benutzer standardmäßig kein Passwort. Insbesondere legen Red Hat-basierte Systeme bei der Installation von MySQL kein Passwort fest; während Debian-basierte Systeme Sie während einer interaktiven Installation zur Eingabe eines Passworts auffordern, wird dies bei einer nicht interaktiven Installation (wie Sie es möglicherweise mit Configuration Manager tun) übersprungen. Darüber hinaus können Sie die Festlegung eines Passworts während einer interaktiven Installation weiterhin überspringen.

Sie denken vielleicht, dass es kein großes Sicherheitsrisiko darstellt, wenn der Root-Benutzer kein Passwort eingibt. Schließlich ist der Benutzer auf „root@localhost“ eingestellt, was Ihrer Meinung nach bedeutet, dass Sie den Computer rooten müssen, bevor Sie dieser Benutzer werden können. Leider bedeutet dies, dass sich jeder Benutzer, der den MySQL-Client von localhost aus starten kann, mit dem folgenden Befehl als MySQL-Root-Benutzer anmelden kann:

*$ mysql – Benutzer root**$ mysql — user root*

因此，如果你不为 root 用户设置密码，那么任何能够在您的 MySQL 机器上获得本地 shell 的人现在都可以完全控制你的数据库。

要修复此漏洞，请使用 mysqladmin 命令为 root 用户设置密码：

$ sudo mysqladmin password

不幸的是，MySQL 以 root 用户身份运行后台任务。一旦你设置了密码，这些任务就会中断，除非采取额外的步骤将密码硬编码到 /root/.my.cnf 文件中：

[mysqladmin]
user = rootpassword = yourpassword

但是，这意味着你必须将密码以纯文本形式存储在主机上。但是你至少可以使用 Unix 文件权限将对该文件的访问限制为仅 root 用户：

sudo chown root:root /root/.my.cnf
sudo chmod 0600 /root/.my.cnf

第二步：删除匿名用户

匿名帐户是既没有用户名也没有密码的 MySQL 帐户。你不希望攻击者在没有密码的情况下对你的数据库进行任何形式的访问，因此请在此命令的输出中查找使用空白用户名记录的任何 MySQL 用户：

> SELECT Host, User FROM mysql.user;
+ — — — — — — — — — — — — + — — — -+
| Host | User |
+ — — — — — — — — — — — — + — — — -+
| 127.0.0.1 | root |
| ::1 | root |
| localhost | |
| localhost | root |
+ — — — — — — — — — — — — + — — — -+
4 rows in set (0.00 sec)

在这些根用户中间有一个匿名用户（ localhost ），它在 User 列中为空。你可以使用下面命令清除特定的匿名用户：

> drop user ""@"localhost";
> flush privileges;

如果你发现任何其他匿名用户，请确保将其删除。

第三步：遵循最小特权原则

最小特权原则是一项安全原则，可以总结如下：

只为账户提供执行作业所需的访问权限，而不提供更多权限。

此原则可以通过多种方式应用于 MySQL。首先当使用 GRANT 命令向特定用户添加数据库权限时，请确保仅限制该用户需要访问数据库的权限：

> grant all privileges on mydb.* to someuser@"localhost" identified by 'astrongpassword';
> flush privileges;

如果该用户只需要访问一个特定的表（例如，users 表），用mydb.users  或者任何你的表的名字替换 mydb.*

Wenn Sie also ohne Indem Sie ein Passwort für den Root-Benutzer festlegen, hat jeder, der eine lokale Shell auf Ihrem MySQL-Rechner einrichten kann, jetzt die volle Kontrolle über Ihre Datenbank.

Um diese Schwachstelle zu beheben, verwenden Sie den Befehl mysqladmin, um ein Passwort für den Root-Benutzer festzulegen:

$ sudo mysqladmin password

Leider führt MySQL Hintergrundaufgaben als Root-Benutzer aus. Sobald Sie ein Passwort festgelegt haben, funktionieren diese Aufgaben nicht mehr, es sei denn, Sie unternehmen den zusätzlichen Schritt, das Passwort fest in die Datei /root/.my.cnf zu codieren: 🎜

> grant select privileges on mydb.* to someuser@"localhost" identified by 'astrongpassword';
> flush privileges;

🎜 Dies bedeutet jedoch, dass Sie das Passwort im Klartext auf dem übergeordneten Host speichern müssen . Aber Sie können zumindest Unix-Dateiberechtigungen verwenden, um den Zugriff auf die Datei nur auf den Root-Benutzer zu beschränken: 🎜

> grant all privileges on mydb.* to someuser@"%"  identified by 'astrongpassword';
> flush privileges;

🎜🎜Schritt zwei: Anonyme Benutzer entfernen 🎜🎜🎜Anonyme Konten sind MySQL-Konten, die weder einen Benutzernamen noch ein Passwort haben. Sie möchten nicht, dass ein Angreifer ohne Passwort Zugriff auf Ihre Datenbank erhält. Suchen Sie daher in der Ausgabe dieses Befehls nach MySQL-Benutzern, die mit einem leeren Benutzernamen angemeldet sind: 🎜

> grant all privileges on mydb.* to someuser@10.0.1.0/255.255.255.0 identified by 'astrongpassword';
> flush privileges;

🎜 Unter diesen anonymen Benutzern gibt es einen Root-Benutzer ( localhost ), das in der Spalte „Benutzer“ leer ist. Sie können bestimmte anonyme Benutzer mit dem folgenden Befehl löschen: 🎜

[mysqld]
ssl-ca=/path/to/ca.crt
ssl-cert=/path/to/server.crt
ssl-key=/path/to/server.key

🎜 Wenn Sie andere anonyme Benutzer finden, löschen Sie diese unbedingt. 🎜🎜🎜Schritt drei: Befolgen Sie das Prinzip der geringsten Privilegien 🎜🎜🎜Das Prinzip der geringsten Privilegien ist ein Sicherheitsprinzip, das wie folgt zusammengefasst werden kann: 🎜🎜Geben Sie Konten nur den Zugriff, den sie zur Ausführung ihrer Aufgaben benötigen, und nicht mehr . . 🎜🎜Dieses Prinzip kann auf verschiedene Arten auf MySQL angewendet werden. Wenn Sie den GRANT-Befehl zum Hinzufügen von Datenbankberechtigungen zu einem bestimmten Benutzer verwenden, achten Sie zunächst darauf, nur die Berechtigungen einzuschränken, die der Benutzer für den Zugriff auf die Datenbank benötigt: 🎜

> grant all privileges on mydb.* to someuser@10.0.1.0/255.255.255.0 identified by 'astrongpassword' REQUIRE SSL;

> flush privileges;

🎜 Wenn der Benutzer nur auf eine bestimmte Tabelle zugreifen muss (z. B. die Benutzertabelle), verwenden Sie mydb. Ersetzen Sie <code>mydb.* durch .users oder wie auch immer Ihr Tabellenname lautet (um Berechtigungen für alle Tabellen zu erteilen). 🎜🎜Viele Leute gewähren Benutzern vollen Zugriff auf die Datenbank, aber wenn Ihr Datenbankbenutzer die Daten nur lesen und nicht ändern muss, müssen Sie den zusätzlichen Schritt unternehmen, schreibgeschützten Zugriff auf die Datenbank zu gewähren: 🎜rrreee 🎜Schließlich greifen viele Datenbankbenutzer nicht über localhost auf die Datenbank zu, normalerweise erstellt der Administrator sie wie folgt: 🎜rrreee🎜Dadurch kann „einiger Benutzer“ von jedem Netzwerk aus auf die Datenbank zugreifen. Wenn Sie jedoch über einen klar definierten Satz interner IPs verfügen oder – noch besser – VLANs so eingerichtet haben, dass sich alle Ihre Anwendungsserver in anderen Subnetzen als andere Hosts befinden, können Sie dies ausnutzen, um „someuser“ einzuschränken. damit das Konto nur von einem bestimmten Netzwerk aus auf die Datenbank zugreifen kann: 🎜

> grant all privileges on mydb.* to someuser@10.0.1.0/255.255.255.0 identified by 'astrongpassword';
> flush privileges;

第四步：启用 TLS

设置强密码仅只有攻击者可以在网络上读取你的密码或者其他敏感数据的情况下才能达到此目的。因此，使用 TLS 保护你的所有网络流量比以往任何时候都更加重要。

MySQL 也不例外。

幸运的是，在 MySQL 中启用 TLS 比较简单。一旦你有了你的主机的有效证书，只需要在你的主 my.cnf 文件的 [mysqld]部分添加以下几行 ：

[mysqld]
ssl-ca=/path/to/ca.crt
ssl-cert=/path/to/server.crt
ssl-key=/path/to/server.key

为了额外的安全性，还可以添加 ssl-cipher 配置选项，其中包含一个被认可的密码列表，而不是只接受默认的密码列表，这可能包括较弱的 TLS 密码。我推荐使用  Mozilla Security/Server Side TLS page 所推荐的现代或者中级密码套件。

一旦服务器端设置了 TLS ，你可以限制客户端必须采用 TLS 进行连接，通过在 GRANT 语句中添加 REQUIRE SSL :

> grant all privileges on mydb.* to someuser@10.0.1.0/255.255.255.0 identified by 'astrongpassword' REQUIRE SSL;

> flush privileges;

第五步：加密数据库密钥

虽然现在很多人都知道使用单向散列（理想情况下是像 bcrypt 这样慢速散列 ），保护用户数据库存储的密码有多重要，但通常没过多考虑使用加密来保护数据库上其他的敏感数据。事实上，许多管理员会告诉你他们的数据库是加密的，因为磁盘本身是加密的。这实际上会影响你的数据库加固，不是因为磁盘加固有缺陷或糟糕的做法，而是因为它会给你一种错误的信任感。

磁盘加密保护你的数据库数据，以防止有人从你的服务器窃取磁盘（或者你买了二手磁盘后忘记擦除磁盘），但是磁盘加密并不能在数据库本身运行时保护你，因为驱动器需要处于解密状态才能被读取。

要保护数据库中的数据，你需要采取额外的措施，在存储敏感字段之前对它们进行加密。这样如果攻击者找到了某种方法来转存完整的数据库，你的敏感字段仍然会受到保护。

有许多加密数据库中字段的方法，而且 MySQL 支持本地加密命令。无论你采取哪种加密方法，我都建议避免你需要将解密密钥存储在数据库本身的加密方法。

理想情况下，你会把解密的密钥存储在应用服务器上，作为本地GPG密钥（如果你使用GPG进行加密）或者将其存储为应用程序服务器上的环境变量。这样即使攻击者可能找到一种方法来破坏应用程序服务器的服务器，他也必须将攻击转换为本地shell访问，以此来获取你的解密密钥。

MySQL 加固原则：掌握最小权限原则

有很多方法来锁定你的MySQL服务器。确切地说，你如何实施这些步骤取决于你如何设置自己的数据库，以及它在网络中的位置。

虽然前面的五个步骤将有助于保护你的数据库，但我认为更需要掌握的最重要的整体步骤是最小权限原则。你的数据库可能存储来一些非常有用的数据，如果你确保用户和应用程序只具有执行其工作的所需的最小访问权限，那么你将限制攻击者能够做什么，如果黑客找到来危害该用户或者应用程序的方法。

【相关推荐：mysql视频教程】

Das obige ist der detaillierte Inhalt von[Muss wissen, muss wissen] Fünf wichtige Sicherheitstipps, die Sie beachten sollten, um MySQL zu stärken. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!