Zabezpieczanie połączeń z bazą danych

Gdy aplikacje łączą się z bazą danych, poufne dane często są przesyłane przez sieć. Bez odpowiednich zabezpieczeń dane te mogą zostać przechwycone lub zmodyfikowane.

• Poufność: Zapobiega nieautoryzowanemu odczytowi danych.
• Integralność: Zapewnia, że dane nie zostaną zmienione podczas przesyłania.
• Uwierzytelnianie: Weryfikuje tożsamość zarówno klienta, jak i serwera.

Ta lekcja koncentruje się na dwóch kluczowych metodach: szyfrowaniu SSL/TLS i ograniczeniach dostępu opartych na adresach IP.

SSL/TLS (Secure Sockets Layer/Transport Layer Security) to standardowa technologia służąca do ustanawiania szyfrowanego połączenia między serwerem internetowym a klientem (w naszym przypadku między serwerem bazy danych a klientem).

• Szyfruje wszystkie wymieniane dane, chroniąc je przed podsłuchaniem.
• Wykorzystuje certyfikaty cyfrowe do weryfikowania tożsamości serwera (i opcjonalnie klienta).
• Ma kluczowe znaczenie dla ochrony haseł, danych finansowych i danych osobowych podczas przesyłania.

Aby korzystać z SSL/TLS, serwer bazy danych potrzebuje certyfikatu cyfrowego i klucza prywatnego. Potwierdzają one tożsamość serwera.

• Certyfikaty z podpisem własnym: Najłatwiejsze do utworzenia na potrzeby testów lub sieci wewnętrznych, ale domyślnie niezaufane.
• Certyfikaty podpisane przez urząd certyfikacji: Wydawane przez urząd certyfikacji (CA) i globalnie zaufane, idealne do środowisk produkcyjnych.

Na potrzeby tej lekcji załóżmy, że masz gotowy certyfikat serwera (server.crt) i klucz prywatny (server.key).

Aby włączyć SSL w PostgreSQL, musisz edytować plik postgresql.conf. Informuje on serwer, aby nasłuchiwał bezpiecznych połączeń i wskazuje, gdzie znajdują się certyfikaty.

Najważniejsze parametry:

• ssl = on: Włącza SSL.
• ssl_cert_file: Ścieżka do certyfikatu serwera.
• ssl_key_file: Ścieżka do klucza prywatnego serwera.

Po wprowadzeniu zmian uruchom ponownie PostgreSQL.

W przypadku MySQL skonfiguruje Pan/Pani SSL/TLS w pliku my.cnf (lub my.ini w systemie Windows), zazwyczaj w sekcji [mysqld].

Należy określić ścieżki do certyfikatu serwera, klucza prywatnego oraz opcjonalnie certyfikatu urzędu certyfikacji (CA), jeśli jest on używany do weryfikowania certyfikatów klientów.

Po wprowadzeniu zmian należy ponownie uruchomić usługę MySQL, aby zostały one zastosowane.

Po skonfigurowaniu serwera należy poinformować klientów, aby podczas łączenia korzystali z SSL/TLS. Zwykle wymaga to określenia opcji SSL w parametrach połączenia lub poleceniu.

Oto przykład użycia klienta psql dla PostgreSQL z jawnym wymaganiem trybu SSL:

• sslmode=require: wymusza połączenie SSL.
• sslrootcert: ścieżka do certyfikatu CA używanego do weryfikacji serwera.

Oprócz szyfrowania ograniczanie dostępu na podstawie adresu IP klienta jest podstawową praktyką bezpieczeństwa. Dzięki temu tylko zaufane maszyny mogą nawet próbować połączyć się z bazą danych.

Można to skonfigurować:

• Na poziomie serwera bazy danych (np. za pomocą pliku pg_hba.conf w PostgreSQL lub instrukcji GRANT w MySQL).
• Za pomocą zapory sieciowej (takiej jak UFW lub firewalld), aby blokować ruch do portu bazy danych z nieautoryzowanych adresów IP.

Połączenie obu metod zapewnia wielowarstwową ochronę.

PostgreSQL używa pliku pg_hba.conf do uwierzytelniania opartego na hoście. Każdy wiersz określa typ połączenia, bazy danych, użytkowników oraz dozwolone adresy IP.

Typowe pola:

• TYPE: host (TCP/IP), local (gniazdo Unix).
• DATABASE: all, konkretna nazwa bazy danych.
• USER: all, konkretny użytkownik.
• ADDRESS: zakres adresów IP (np. 192.168.1.0/24) lub pojedynczy adres IP.
• METHOD: scram-sha-256, md5, peer itd.

Po zakończeniu edycji należy ponownie uruchomić PostgreSQL.

W MySQL ogranicza się dostęp użytkownika, określając host, z którego może się on łączyć podczas tworzenia lub modyfikowania użytkownika za pomocą instrukcji GRANT.

Kluczowa jest składnia 'user'@'host':

• 'localhost': tylko z samego serwera.
• '192.168.1.100': tylko z określonego adresu IP.
• '%': z dowolnego hosta (należy używać z najwyższą ostrożnością!).
• '192.168.1.%': z dowolnego adresu IP z zakresu 192.168.1.x.

Zawsze należy używać najbardziej restrykcyjnego możliwego hosta.

Zabezpieczanie połączeń z bazą danych to proces wymagający stałej uwagi. Oto kilka najlepszych praktyk:

• Minimalne uprawnienia: należy przyznawać użytkownikom i aplikacjom tylko niezbędne uprawnienia.
• Silne hasła: należy wymuszać złożone hasła i regularnie je zmieniać.
• Reguły zapory sieciowej: należy używać zapory serwera (UFW/firewalld), aby ograniczyć dostęp do portów baz danych (np. 5432 dla PostgreSQL i 3306 dla MySQL) wyłącznie do zaufanych adresów IP.
• Regularne audyty: należy okresowo przeglądać dzienniki bazy danych i konfigurację dostępu.
• Aktualizowanie oprogramowania: należy niezwłocznie instalować poprawki bezpieczeństwa serwera bazy danych i systemu operacyjnego.

W tej lekcji omówiliśmy najważniejsze techniki zabezpieczania połączeń z bazą danych:

• SSL/TLS: szyfruje dane podczas przesyłania, zapewniając poufność i integralność. Zobaczyliśmy, jak włączyć tę funkcję w PostgreSQL i MySQL oraz jak klienci mogą łączyć się bezpiecznie.
• Ograniczenia adresów IP: ograniczają możliwość łączenia się z bazą danych na podstawie adresu sieciowego, z użyciem pliku pg_hba.conf w PostgreSQL i instrukcji GRANT w MySQL.
• Najlepsze praktyki: omówiliśmy również ogólne wskazówki dotyczące bezpieczeństwa, takie jak stosowanie silnych haseł i regularne audyty.

Wdrożenie tych rozwiązań znacznie zmniejsza ryzyko nieautoryzowanego dostępu i wycieku danych.