Databaseverbindingen beveiligen

Om SSL/TLS te gebruiken, heeft je databaseserver een digitaal certificaat en een privésleutel nodig. Hiermee wordt de identiteit van de server aangetoond.

• Zelfondertekende certificaten: het eenvoudigst aan te maken voor tests of interne netwerken, maar standaard niet vertrouwd.
• Door een CA ondertekende certificaten: uitgegeven door een certificaatautoriteit (CA) en wereldwijd vertrouwd, dus ideaal voor productieomgevingen.

Voor deze les gaan we ervan uit dat je een servercertificaat (server.crt) en een privésleutel (server.key) gereed hebt.

Om SSL in PostgreSQL in te schakelen, moet je het bestand postgresql.conf bewerken. Hiermee geef je de server opdracht om naar beveiligde verbindingen te luisteren en waar de certificaten te vinden zijn.

Belangrijke parameters:

• ssl = on: schakelt SSL in.
• ssl_cert_file: pad naar je servercertificaat.
• ssl_key_file: pad naar de privésleutel van je server.

Start PostgreSQL opnieuw nadat je wijzigingen hebt aangebracht.

Voor MySQL configureer je SSL/TLS in het bestand my.cnf (of my.ini in Windows), meestal in de sectie [mysqld].

Je geeft de paden op naar het servercertificaat, de privésleutel en eventueel een certificaat van een Certificate Authority (CA) als je dat gebruikt om clientcertificaten te verifiëren.

Start de MySQL-service na het wijzigen opnieuw op, zodat de wijzigingen van kracht worden.

Als de server is geconfigureerd, moeten clients worden ingesteld om SSL/TLS te gebruiken bij het verbinden. Hiervoor geef je vaak SSL-opties op in de verbindingsreeks of de opdracht.

Hier zie je een voorbeeld met de psql-client voor PostgreSQL, waarbij de SSL-modus expliciet wordt vereist:

• sslmode=require: Dwingt een SSL-verbinding af.
• sslrootcert: Pad naar het CA-certificaat voor serververificatie.

Naast versleuteling is het beperken van toegang op basis van het IP-adres van de client een fundamentele beveiligingsmaatregel. Zo kunnen alleen vertrouwde machines überhaupt proberen verbinding te maken met je database.

Je kunt dit configureren:

• Op het niveau van de databaseserver (bijvoorbeeld in PostgreSQL met pg_hba.conf of in MySQL met GRANT-instructies).
• Met een firewall (zoals UFW of firewalld) om verkeer vanaf onbevoegde IP-adressen naar de databasepoort te blokkeren.

Door beide methoden te combineren, creëer je een gelaagde beveiliging.

PostgreSQL gebruikt het bestand pg_hba.conf voor hostgebaseerde authenticatie. Elke regel specificeert verbindingstypen, databases, gebruikers en toegestane IP-adressen.

Veelgebruikte velden:

• TYPE: host (TCP/IP), local (Unix-socket).
• DATABASE: all, specifieke databasenaam.
• GEBRUIKER: all, specifieke gebruiker.
• ADRES: IP-bereik (bijvoorbeeld 192.168.1.0/24) of één IP-adres.
• METHODE: scram-sha-256, md5, peer, enzovoort.

Vergeet niet PostgreSQL na het bewerken opnieuw op te starten.

In MySQL beperk je de toegang van gebruikers door de host op te geven waarvan ze verbinding mogen maken wanneer je een gebruiker aanmaakt of wijzigt met de instructie GRANT.

De syntaxis 'user'@'host' is hierbij essentieel:

• 'localhost': Alleen vanaf de server zelf.
• '192.168.1.100': Alleen vanaf een specifiek IP-adres.
• '%': Vanaf elke host (gebruik dit uiterst voorzichtig!).
• '192.168.1.%': Vanaf elk IP-adres binnen het bereik 192.168.1.x.

Gebruik altijd de meest beperkende host die mogelijk is.

Het beveiligen van databaseverbindingen is een doorlopend proces. Hier volgen enkele aanbevolen praktijken:

• Minimale rechten: Geef gebruikers en toepassingen alleen de benodigde machtigingen.
• Sterke wachtwoorden: Stel complexe wachtwoorden verplicht en wijzig ze regelmatig.
• Firewallregels: Gebruik de firewall van je server (UFW/firewalld) om de toegang tot databasepoorten (bijvoorbeeld 5432 voor PostgreSQL en 3306 voor MySQL) te beperken tot alleen vertrouwde IP-adressen.
• Regelmatige controles: Controleer periodiek de databaselogboeken en toegangsconfiguraties.
• Software bijwerken: Installeer beveiligingsupdates voor je databaseserver en besturingssysteem zo snel mogelijk.

In deze les hebben we belangrijke technieken voor het beveiligen van je databaseverbindingen onderzocht:

• SSL/TLS: Versleutelt gegevens tijdens de overdracht en zorgt zo voor vertrouwelijkheid en integriteit. We hebben gezien hoe je dit inschakelt in PostgreSQL en MySQL en hoe clients veilig verbinding maken.
• IP-beperkingen: Beperken wie verbinding kan maken met je database op basis van het netwerkadres, met pg_hba.conf voor PostgreSQL en GRANT-instructies voor MySQL.
• Aanbevolen praktijken: We hebben ook algemene beveiligingstips behandeld, zoals het gebruik van sterke wachtwoorden en regelmatige controles.

Door deze maatregelen toe te passen, verklein je het risico op onbevoegde toegang en datalekken aanzienlijk.