Protección de las conexiones a bases de datos

Cuando sus aplicaciones se conectan a una base de datos, los datos confidenciales suelen viajar por la red. Sin la seguridad adecuada, estos datos podrían ser interceptados o manipulados.

• Confidencialidad: Impide que los datos sean consultados por personas no autorizadas.
• Integridad: Garantiza que los datos no se modifiquen durante el tránsito.
• Autenticación: Verifica la identidad tanto del cliente como del servidor.

Esta lección se centra en dos métodos clave: el cifrado SSL/TLS y las restricciones de acceso basadas en IP.

SSL/TLS (Secure Sockets Layer/Transport Layer Security) es la tecnología estándar para establecer un enlace cifrado entre un servidor web y un cliente (o, en nuestro caso, entre un servidor de bases de datos y un cliente).

• Cifra todos los datos intercambiados y los protege de las escuchas no autorizadas.
• Utiliza certificados digitales para verificar la identidad del servidor y, opcionalmente, del cliente.
• Es fundamental para proteger durante la transferencia datos como contraseñas, información financiera y datos personales.

Para utilizar SSL/TLS, el servidor de bases de datos necesita un certificado digital y una clave privada. Estos elementos prueban la identidad del servidor.

• Certificados autofirmados: Son fáciles de crear para pruebas o redes internas, pero no son de confianza de forma predeterminada.
• Certificados firmados por una CA: Los emite una autoridad certificadora (CA) y cuentan con confianza a nivel mundial, por lo que son ideales para producción.

Para esta lección, supondremos que tiene preparado un certificado de servidor (server.crt) y una clave privada (server.key).

Para habilitar SSL en PostgreSQL, debe editar el archivo postgresql.conf. Esto indica al servidor que escuche conexiones seguras y dónde encontrar sus certificados.

Parámetros principales:

• ssl = on: Activa SSL.
• ssl_cert_file: Ruta al certificado del servidor.
• ssl_key_file: Ruta a la clave privada del servidor.

Después de realizar los cambios, reinicie PostgreSQL.

En MySQL, configurará SSL/TLS en el archivo my.cnf (o my.ini en Windows), normalmente dentro de la sección [mysqld].

Debe especificar las rutas al certificado del servidor, la clave privada y, opcionalmente, un certificado de una autoridad certificadora (CA) si utiliza uno para verificar los certificados de los clientes.

Después de modificar el archivo, reinicie el servicio de MySQL para que los cambios surtan efecto.

Una vez configurado el servidor, debe indicar a los clientes que utilicen SSL/TLS al conectarse. Esto suele implicar especificar opciones de SSL en la cadena de conexión o en el comando.

Este es un ejemplo con el cliente psql para PostgreSQL, que requiere explícitamente el modo SSL:

• sslmode=require: Fuerza una conexión SSL.
• sslrootcert: Ruta al certificado de la CA para verificar el servidor.

Además del cifrado, restringir el acceso según la dirección IP del cliente es una práctica de seguridad fundamental. Esto garantiza que solo las máquinas de confianza puedan siquiera intentar conectarse a su base de datos.

Puede configurarlo de las siguientes maneras:

• En el nivel del servidor de base de datos (por ejemplo, mediante pg_hba.conf de PostgreSQL o las instrucciones GRANT de MySQL).
• Mediante un firewall (como UFW o firewalld) para bloquear el tráfico al puerto de la base de datos desde direcciones IP no autorizadas.

Combinar ambos métodos proporciona una defensa en capas.

PostgreSQL utiliza el archivo pg_hba.conf para la autenticación basada en el host. Cada línea especifica los tipos de conexión, las bases de datos, los usuarios y las direcciones IP permitidas.

Campos habituales:

• TYPE: host (TCP/IP), local (socket de Unix).
• DATABASE: all, nombre específico de la base de datos.
• USER: all, usuario específico.
• ADDRESS: rango de IP (por ejemplo, 192.168.1.0/24) o una IP individual.
• METHOD: scram-sha-256, md5, peer, etc.

Recuerde reiniciar PostgreSQL después de editar el archivo.

En MySQL, restringe el acceso de los usuarios especificando el host desde el que pueden conectarse al crear o modificar un usuario mediante la instrucción GRANT.

La sintaxis 'user'@'host' es fundamental:

• 'localhost': Solo desde el propio servidor.
• '192.168.1.100': Solo desde una dirección IP específica.
• '%': Desde cualquier host (¡utilícelo con extrema precaución!).
• '192.168.1.%': Desde cualquier IP del rango 192.168.1.x.

Utilice siempre el host más restrictivo posible.

Proteger las conexiones de la base de datos es una tarea continua. Estas son algunas prácticas recomendadas:

• Principio de mínimo privilegio: Conceda a los usuarios y las aplicaciones únicamente los permisos necesarios.
• Contraseñas seguras: Exija contraseñas complejas y cámbielas periódicamente.
• Reglas del firewall: Utilice el firewall de su servidor (UFW/firewalld) para restringir el acceso a los puertos de las bases de datos (por ejemplo, 5432 para PostgreSQL y 3306 para MySQL) únicamente a IP de confianza.
• Auditorías periódicas: Revise periódicamente los registros de la base de datos y las configuraciones de acceso.
• Mantenga el software actualizado: Aplique rápidamente los parches de seguridad al servidor de la base de datos y al sistema operativo.

¿Cuáles de los siguientes son métodos válidos para mejorar la seguridad de las conexiones de bases de datos?

En esta lección, hemos explorado técnicas esenciales para proteger las conexiones de su base de datos:

• SSL/TLS: Cifra los datos en tránsito y garantiza su confidencialidad e integridad. Hemos visto cómo activarlo en PostgreSQL y MySQL, y cómo se conectan los clientes de forma segura.
• Restricciones de IP: Limita quién puede conectarse a su base de datos según su dirección de red, mediante pg_hba.conf en PostgreSQL e instrucciones GRANT en MySQL.
• Prácticas recomendadas: También hemos tratado consejos generales de seguridad, como utilizar contraseñas seguras y realizar auditorías periódicas.

Al implementarlas, reducirá considerablemente el riesgo de accesos no autorizados y filtraciones de datos.