Proteção das Conexões com o Banco de Dados

Quando seus aplicativos se conectam a um banco de dados, dados confidenciais geralmente trafegam pela rede. Sem a segurança adequada, esses dados podem ser interceptados ou adulterados.

• Confidencialidade: Impede a visualização não autorizada dos dados.
• Integridade: Garante que os dados não sejam alterados durante o trânsito.
• Autenticação: Verifica a identidade do cliente e do servidor.

Esta lição se concentra em dois métodos importantes: criptografia SSL/TLS e restrições de acesso baseadas em IP.

SSL/TLS (Secure Sockets Layer/Transport Layer Security) é a tecnologia padrão para estabelecer uma conexão criptografada entre um servidor Web e um cliente (ou, no nosso caso, entre um servidor de banco de dados e um cliente).

• Criptografa todos os dados trocados, protegendo-os contra interceptação.
• Usa certificados digitais para verificar a identidade do servidor (e, opcionalmente, do cliente).
• É essencial para proteger dados como senhas, informações financeiras e dados pessoais durante a transferência.

Para usar SSL/TLS, seu servidor de banco de dados precisa de um certificado digital e de uma chave privada. Eles comprovam a identidade do servidor.

• Certificados autoassinados: São os mais fáceis de criar para testes ou redes internas, mas não são confiáveis por padrão.
• Certificados assinados por uma CA: Emitidos por uma autoridade certificadora (CA) e confiáveis globalmente, são ideais para ambientes de produção.

Nesta lição, presumiremos que você já tem um certificado de servidor (server.crt) e uma chave privada (server.key) prontos.

Para ativar o SSL no PostgreSQL, você precisa editar o arquivo postgresql.conf. Isso informa ao servidor que ele deve escutar conexões seguras e indica onde encontrar seus certificados.

Parâmetros principais:

• ssl = on: Ativa o SSL.
• ssl_cert_file: Caminho para o certificado do servidor.
• ssl_key_file: Caminho para a chave privada do servidor.

Após fazer as alterações, reinicie o PostgreSQL.

Para MySQL, configure SSL/TLS no arquivo my.cnf (ou my.ini no Windows), normalmente dentro da seção [mysqld].

Especifique os caminhos para o certificado do servidor, a chave privada e, opcionalmente, um certificado de Autoridade de Certificação (CA), caso esteja usando um para verificar os certificados dos clientes.

Depois de fazer as alterações, reinicie o serviço MySQL para que elas entrem em vigor.

Depois que o servidor estiver configurado, os clientes precisarão ser instruídos a usar SSL/TLS ao se conectarem. Isso geralmente envolve especificar opções de SSL na sequência de conexão ou no comando.

Veja um exemplo usando o cliente psql para PostgreSQL, exigindo explicitamente o modo SSL:

• sslmode=require: força uma conexão SSL.
• sslrootcert: caminho para o certificado da CA usado na verificação do servidor.

Além da criptografia, restringir o acesso com base no endereço IP do cliente é uma prática de segurança fundamental. Isso garante que somente máquinas confiáveis possam sequer tentar se conectar ao seu banco de dados.

Você pode configurar isso:

• No nível do servidor de banco de dados (por exemplo, no pg_hba.conf do PostgreSQL ou usando instruções GRANT do MySQL).
• Usando um firewall (como UFW ou firewalld) para bloquear o tráfego para a porta do banco de dados proveniente de IPs não autorizados.

A combinação dos dois métodos oferece uma defesa em camadas.

O PostgreSQL usa o arquivo pg_hba.conf para autenticação baseada no servidor de origem. Cada linha especifica tipos de conexão, bancos de dados, usuários e endereços IP permitidos.

Campos comuns:

• TYPE: host (TCP/IP), local (soquete Unix).
• DATABASE: all, nome específico do banco de dados.
• USER: all, usuário específico.
• ADDRESS: intervalo de IP (por exemplo, 192.168.1.0/24) ou um único IP.
• METHOD: scram-sha-256, md5, peer etc.

Lembre-se de reiniciar o PostgreSQL depois da edição.

No MySQL, você restringe o acesso dos usuários especificando o servidor de origem ao qual eles podem se conectar ao criar ou alterar um usuário com a instrução GRANT.

A sintaxe 'user'@'host' é fundamental:

• 'localhost': somente a partir do próprio servidor.
• '192.168.1.100': somente a partir de um endereço IP específico.
• '%': a partir de qualquer servidor (use com extrema cautela!).
• '192.168.1.%': a partir de qualquer IP no intervalo 192.168.1.x.

Use sempre o servidor de origem mais restritivo possível.

Proteger as conexões do banco de dados é um trabalho contínuo. Estas são algumas práticas recomendadas:

• Menor Privilégio: conceda aos usuários e aplicativos somente as permissões necessárias.
• Senhas Fortes: exija senhas complexas e altere-as regularmente.
• Regras do Firewall: use o firewall do servidor (UFW/firewalld) para restringir o acesso às portas do banco de dados (por exemplo, 5432 para PostgreSQL e 3306 para MySQL) somente a IPs confiáveis.
• Auditorias Regulares: revise periodicamente os registros do banco de dados e as configurações de acesso.
• Mantenha o Software Atualizado: aplique prontamente as correções de segurança ao servidor de banco de dados e ao sistema operacional.

Quais das opções a seguir são métodos válidos para aumentar a segurança das conexões do banco de dados?

Nesta lição, exploramos técnicas essenciais para proteger suas conexões do banco de dados:

• SSL/TLS: criptografa os dados em trânsito, garantindo confidencialidade e integridade. Vimos como ativá-lo no PostgreSQL e no MySQL, além de como os clientes se conectam com segurança.
• Restrições de IP: limitam quem pode se conectar ao seu banco de dados com base no endereço de rede, usando pg_hba.conf no PostgreSQL e instruções GRANT no MySQL.
• Práticas Recomendadas: também abordamos dicas gerais de segurança, como usar senhas fortes e realizar auditorias regulares.

Ao implementar essas medidas, você reduz significativamente o risco de acesso não autorizado e violações de dados.