Güvenli Veritabanı Bağlantıları

Uygulamalarınız bir veritabanına bağlandığında hassas veriler genellikle ağ üzerinden aktarılır. Uygun güvenlik önlemleri olmadan bu veriler ele geçirilebilir veya değiştirilebilir.

• Gizlilik: Verilerin yetkisiz kişilerce görüntülenmesini önler.
• Bütünlük: Verilerin aktarım sırasında değiştirilmediğinden emin olur.
• Kimlik doğrulama: Hem istemcinin hem de sunucunun kimliğini doğrular.

Bu derste iki temel yönteme odaklanacağız: SSL/TLS şifrelemesi ve IP tabanlı erişim kısıtlamaları.

SSL/TLS (Secure Sockets Layer/Transport Layer Security), bir web sunucusu ile istemci (veya bizim durumumuzda bir veritabanı sunucusu ile istemci) arasında şifreli bağlantı kurmaya yarayan standart teknolojidir.

• Alışverişi yapılan tüm verileri şifreleyerek gizlice dinlemeye karşı koruma sağlar.
• Sunucunun (ve isteğe bağlı olarak istemcinin) kimliğini doğrulamak için dijital sertifikalar kullanır.
• Parolalar, finansal bilgiler ve kişisel bilgiler gibi verileri aktarım sırasında korumak için kritik öneme sahiptir.

SSL/TLS kullanmak için veritabanı sunucunuzun bir dijital sertifikaya ve özel anahtara ihtiyacı vardır. Bunlar sunucunun kimliğini kanıtlar.

• Kendinden imzalı sertifikalar: Deneme veya dahili ağlar için oluşturulması en kolay sertifikalardır, ancak varsayılan olarak güvenilir değildir.
• CA imzalı sertifikalar: Bir Sertifika Otoritesi (CA) tarafından verilir ve dünya genelinde güvenilir kabul edilir; üretim ortamları için idealdir.

Bu ders için bir sunucu sertifikanızın (server.crt) ve özel anahtarınızın (server.key) hazır olduğunu varsayacağız.

PostgreSQL'de SSL'yi etkinleştirmek için postgresql.conf dosyasını düzenlemeniz gerekir. Bu işlem sunucuya güvenli bağlantıları dinlemesini ve sertifikalarınızı nerede bulacağını bildirir.

Temel parametreler:

• ssl = on: SSL'yi etkinleştirir.
• ssl_cert_file: Sunucu sertifikanızın yolu.
• ssl_key_file: Sunucunuzun özel anahtarının yolu.

Değişikliklerden sonra PostgreSQL'i yeniden başlatın.

MySQL için SSL/TLS'yi my.cnf dosyasında (Windows'ta my.ini), genellikle [mysqld] bölümünde yapılandıracaksınız.

Sunucu sertifikasının, özel anahtarın ve istemci sertifikalarını doğrulamak için bir sertifika yetkilisi (CA) sertifikası kullanıyorsanız bunun yolunu da belirtirsiniz.

Değişiklikleri yaptıktan sonra etkili olmaları için MySQL hizmetini yeniden başlatın.

Sunucu yapılandırıldıktan sonra istemcilere bağlantı kurarken SSL/TLS kullanmaları gerektiği bildirilmelidir. Bu işlem genellikle bağlantı dizesinde veya komutta SSL seçeneklerinin belirtilmesini gerektirir.

Aşağıda, SSL kipini açıkça zorunlu kılan PostgreSQL psql istemcisiyle bir örnek verilmiştir:

• sslmode=require: SSL bağlantısını zorunlu kılar.
• sslrootcert: Sunucu doğrulaması için CA sertifikasının yolu.

Şifrelemenin yanı sıra erişimi istemcinin IP adresine göre kısıtlamak, temel bir güvenlik uygulamasıdır. Bu, yalnızca güvenilir makinelerin veritabanınıza bağlanmayı denemesini sağlar.

Bunu şu yollarla yapılandırabilirsiniz:

• Veritabanı sunucusu düzeyinde (örneğin PostgreSQL'in pg_hba.conf dosyası veya MySQL'in GRANT ifadeleriyle).
• Yetkisiz IP'lerden veritabanı bağlantı noktasına gelen trafiği engellemek için güvenlik duvarı kullanarak (UFW veya firewalld gibi).

Her iki yöntemi birleştirmek, katmanlı bir savunma sağlar.

PostgreSQL, ana bilgisayar tabanlı kimlik doğrulama için pg_hba.conf dosyasını kullanır. Her satır bağlantı türlerini, veritabanlarını, kullanıcıları ve izin verilen IP adreslerini belirtir.

Yaygın alanlar:

• TYPE: host (TCP/IP), local (Unix yuvası).
• DATABASE: all, belirli veritabanı adı.
• USER: all, belirli kullanıcı.
• ADDRESS: IP aralığı (ör. 192.168.1.0/24) veya tek bir IP.
• METHOD: scram-sha-256, md5, peer vb.

Düzenleme yaptıktan sonra PostgreSQL'i yeniden başlatmayı unutmayın.

MySQL'de, bir kullanıcıyı GRANT ifadesiyle oluştururken veya değiştirirken bağlanabileceği ana bilgisayarı belirterek kullanıcı erişimini kısıtlarsınız.

'user'@'host' söz dizimi temel öneme sahiptir:

• 'localhost': Yalnızca sunucunun kendisinden.
• '192.168.1.100': Yalnızca belirli bir IP adresinden.
• '%': Herhangi bir ana bilgisayardan (son derece dikkatli kullanın!).
• '192.168.1.%': 192.168.1.x aralığındaki herhangi bir IP'den.

Her zaman mümkün olan en kısıtlayıcı ana bilgisayarı kullanın.

Veritabanı bağlantılarını güvenli hâle getirmek sürekli çaba gerektirir. En iyi uygulamalardan bazıları şunlardır:

• En Az Ayrıcalık: Kullanıcılara ve uygulamalara yalnızca gerekli izinleri verin.
• Güçlü Parolalar: Karmaşık parolaları zorunlu kılın ve bunları düzenli olarak yenileyin.
• Güvenlik Duvarı Kuralları: Veritabanı bağlantı noktalarına erişimi yalnızca güvenilir IP'lerle kısıtlamak için sunucunuzun güvenlik duvarını (UFW/firewalld) kullanın (ör. PostgreSQL için 5432, MySQL için 3306).
• Düzenli Denetimler: Veritabanı günlüklerini ve erişim yapılandırmalarını düzenli aralıklarla gözden geçirin.
• Yazılımları Güncel Tutma: Güvenlik yamalarını veritabanı sunucunuza ve işletim sisteminize gecikmeden uygulayın.

Aşağıdakilerden hangileri veritabanı bağlantılarının güvenliğini artırmak için geçerli yöntemlerdir?

Bu derste veritabanı bağlantılarınızı güvence altına almak için önemli teknikleri inceledik:

• SSL/TLS: Aktarım hâlindeki verileri şifreleyerek gizliliği ve bütünlüğü sağlar. PostgreSQL ve MySQL'de nasıl etkinleştirileceğini ve istemcilerin güvenli şekilde nasıl bağlanacağını gördük.
• IP Kısıtlamaları: PostgreSQL için pg_hba.conf dosyasını, MySQL içinse GRANT ifadelerini kullanarak veritabanınıza kimlerin ağ adresine göre bağlanabileceğini sınırlar.
• En İyi Uygulamalar: Güçlü parolalar kullanma ve düzenli denetimler yapma gibi genel güvenlik ipuçlarını da ele aldık.

Bunları uygulayarak yetkisiz erişim ve veri ihlali riskini önemli ölçüde azaltırsınız.