Sichere Datenbankverbindungen

Wenn Ihre Anwendungen eine Verbindung zu einer Datenbank herstellen, werden häufig vertrauliche Daten über das Netzwerk übertragen. Ohne geeignete Sicherheitsmaßnahmen könnten diese Daten abgefangen oder manipuliert werden.

• Vertraulichkeit: Verhindert das unbefugte Anzeigen von Daten.
• Integrität: Stellt sicher, dass Daten während der Übertragung nicht verändert werden.
• Authentifizierung: Überprüft die Identität von Client und Server.

Diese Lektion konzentriert sich auf zwei wichtige Methoden: SSL/TLS-Verschlüsselung und IP-basierte Zugriffsbeschränkungen.

SSL/TLS (Secure Sockets Layer/Transport Layer Security) ist die Standardtechnologie zum Aufbau einer verschlüsselten Verbindung zwischen einem Webserver und einem Client (in unserem Fall zwischen einem Datenbankserver und einem Client).

• Die Technologie verschlüsselt alle ausgetauschten Daten und schützt sie so vor dem Abhören.
• Sie verwendet digitale Zertifikate, um die Identität des Servers (und optional des Clients) zu überprüfen.
• Sie ist entscheidend, um Daten wie Passwörter, Finanzdaten und persönliche Informationen während der Übertragung zu schützen.

Für die Verwendung von SSL/TLS benötigt Ihr Datenbankserver ein digitales Zertifikat und einen privaten Schlüssel. Diese weisen die Identität des Servers nach.

• Selbstsignierte Zertifikate: Lassen sich am einfachsten für Tests oder interne Netzwerke erstellen, werden jedoch standardmäßig nicht als vertrauenswürdig eingestuft.
• Von einer Zertifizierungsstelle signierte Zertifikate: Werden von einer Zertifizierungsstelle (CA) ausgestellt und weltweit als vertrauenswürdig eingestuft; sie sind ideal für Produktivumgebungen.

Für diese Lektion gehen wir davon aus, dass ein Serverzertifikat (server.crt) und ein privater Schlüssel (server.key) bereitstehen.

Um SSL in PostgreSQL zu aktivieren, müssen Sie die Datei postgresql.conf bearbeiten. Dadurch wird festgelegt, dass der Server auf sichere Verbindungen wartet und wo er Ihre Zertifikate findet.

Wichtige Parameter:

• ssl = on: Schaltet SSL ein.
• ssl_cert_file: Pfad zu Ihrem Serverzertifikat.
• ssl_key_file: Pfad zum privaten Schlüssel Ihres Servers.

Starten Sie PostgreSQL nach den Änderungen neu.

Für MySQL konfigurieren Sie SSL/TLS in der Datei my.cnf (unter Windows in my.ini), normalerweise im Abschnitt [mysqld].

Sie geben die Pfade zum Serverzertifikat, zum privaten Schlüssel und optional zu einem Zertifikat der Zertifizierungsstelle (CA) an, falls Sie damit Clientzertifikate überprüfen.

Starten Sie den MySQL-Dienst nach den Änderungen neu, damit diese wirksam werden.

Nachdem der Server konfiguriert wurde, müssen Sie den Clients mitteilen, dass sie beim Verbindungsaufbau SSL/TLS verwenden sollen. Dazu werden häufig SSL-Optionen in der Verbindungszeichenfolge oder im Befehl angegeben.

Hier sehen Sie ein Beispiel mit dem PostgreSQL-Client psql, bei dem der SSL-Modus ausdrücklich vorgeschrieben wird:

• sslmode=require: Erzwingt eine SSL-Verbindung.
• sslrootcert: Pfad zum CA-Zertifikat für die Serverüberprüfung.

Neben der Verschlüsselung ist die Beschränkung des Zugriffs anhand der IP-Adresse des Clients eine grundlegende Sicherheitsmaßnahme. Dadurch können nur vertrauenswürdige Rechner überhaupt versuchen, eine Verbindung zu Ihrer Datenbank herzustellen.

Sie können dies konfigurieren:

• Auf Ebene des Datenbankservers (z. B. mit PostgreSQLs pg_hba.conf oder MySQLs GRANT-Anweisungen).
• Mit einer Firewall (z. B. UFW oder firewalld), um Datenverkehr von nicht autorisierten IP-Adressen zum Datenbankport zu blockieren.

Die Kombination beider Methoden bietet einen mehrschichtigen Schutz.

PostgreSQL verwendet die Datei pg_hba.conf für die hostbasierte Authentifizierung. Jede Zeile legt Verbindungstypen, Datenbanken, Benutzer und zulässige IP-Adressen fest.

Häufige Felder:

• TYP: host (TCP/IP), local (Unix-Socket).
• DATENBANK: all, ein bestimmter Datenbankname.
• BENUTZER: all, ein bestimmter Benutzer.
• ADRESSE: IP-Bereich (z. B. 192.168.1.0/24) oder einzelne IP-Adresse.
• METHODE: scram-sha-256, md5, peer usw.

Denken Sie daran, PostgreSQL nach der Bearbeitung neu zu starten.

In MySQL beschränken Sie den Benutzerzugriff, indem Sie beim Erstellen oder Ändern eines Benutzers mit der Anweisung GRANT den Host angeben, von dem aus die Verbindung hergestellt werden darf.

Die Syntax 'user'@'host' ist entscheidend:

• 'localhost': Nur vom Server selbst.
• '192.168.1.100': Nur von einer bestimmten IP-Adresse.
• '%': Von jedem Host aus (mit äußerster Vorsicht verwenden!).
• '192.168.1.%': Von jeder IP-Adresse im Bereich 192.168.1.x.

Verwenden Sie immer den restriktivsten möglichen Host.

Die Absicherung von Datenbankverbindungen ist eine fortlaufende Aufgabe. Hier sind einige bewährte Praktiken:

• Prinzip der geringsten Privilegien: Erteilen Sie Benutzern und Anwendungen nur die erforderlichen Berechtigungen.
• Starke Passwörter: Erzwingen Sie komplexe Passwörter und ändern Sie diese regelmäßig.
• Firewall-Regeln: Verwenden Sie die Firewall Ihres Servers (UFW/firewalld), um den Zugriff auf Datenbankports (z. B. 5432 für PostgreSQL, 3306 für MySQL) auf vertrauenswürdige IP-Adressen zu beschränken.
• Regelmäßige Überprüfungen: Prüfen Sie regelmäßig Datenbankprotokolle und Zugriffskonfigurationen.
• Software aktuell halten: Installieren Sie Sicherheitsaktualisierungen für Ihren Datenbankserver und Ihr Betriebssystem zeitnah.

Welche der folgenden Methoden sind geeignet, um die Sicherheit von Datenbankverbindungen zu erhöhen?

In dieser Lektion haben wir wichtige Techniken zur Absicherung Ihrer Datenbankverbindungen kennengelernt:

• SSL/TLS: Verschlüsselt Daten während der Übertragung und gewährleistet Vertraulichkeit und Integrität. Wir haben gesehen, wie Sie SSL/TLS in PostgreSQL und MySQL aktivieren und wie Clients sichere Verbindungen herstellen.
• IP-Beschränkungen: Beschränken anhand der Netzwerkadresse, wer eine Verbindung zu Ihrer Datenbank herstellen darf. Dazu wird bei PostgreSQL pg_hba.conf und bei MySQL die Anweisung GRANT verwendet.
• Bewährte Praktiken: Außerdem haben wir allgemeine Sicherheitstipps wie die Verwendung starker Passwörter und regelmäßige Überprüfungen behandelt.

Durch die Umsetzung dieser Maßnahmen verringern Sie das Risiko unbefugter Zugriffe und Datenlecks erheblich.