Re: MySQL y sus datos
El Wed, 02 Nov 2011 23:42:41 -0600, Gerardo Rogelio Flores escribió: El 02/11/2011 06:34 a.m., Camaleón escribió: El Tue, 01 Nov 2011 21:49:28 -0600, Gerardo Rogelio Flores escribió: 1o. Mysql como una aplicacion abierta deja la seguridad por default y es responsabilidad del Administrador Servidor, DBA, Usuario , implementar la seguridad en la medida que sea necesaria. (...) Lo dices como si fuera algo malo o algo raro :-? (...) En fin, que con MySQL pasa como con el resto de aplicaciones, hay que determinar si esas bases de datos contienen información sensible y que por lo tanto hay que proteger o sólo contiene tablas con datos e información que es pública y accesible. Si es algo malo dejar por default cualquier cosa. No tiene por qué ser malo, la opción predeterminada tiene que mantener una relación entre seguridad y utilidad razonable y en este caso creo que se cumple. Vamos, que no tenemos porqué estar cifrando las tablas ni los datos de las bdd, eso ya depende de la configuración de cada cual. (...) La seguridad de Mysql es muy amplia y las formas de garantizar que los datos no sean cambiados facilmente es variada, siempre hay alternativas como comenta Camaleon pero en definitiva Mysql ofrece las propias. Yo no he comentado ninguna alternativa más que el uso de cifrado, y MySQL como cualquier servidor de base de datos que se precie, permite cifrar los datos de las tablas para que no se almacenen en texto claro. Esta es la única opción que serviría para paliar la preocupación que comentaba el OP, es decir, para evitar que alguien tenga acceso al contenido de los datos, aunque sea root. Si están cifrados ni siquiera siendo súperusuario se podrían leer las tablas :-) Saludos, -- Camaleón -- To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/pan.2011.11.03.14.50...@gmail.com
Re: MySQL y sus datos
El Tue, 01 Nov 2011 21:49:28 -0600, Gerardo Rogelio Flores escribió: 1o. Mysql como una aplicacion abierta deja la seguridad por default y es responsabilidad del Administrador Servidor, DBA, Usuario , implementar la seguridad en la medida que sea necesaria. (...) Lo dices como si fuera algo malo o algo raro :-? A ver, sea una aplicación abierta o cerrada el nivel de seguridad obviamente lo tiene que definir el administrador o el usuario, y esto pasa como con todo, no sólo con las bdd. Por ejemplo, hay quien necesita cifrar el disco duro de su equipo pero no siempre esa opción resulta la mejor, la más conveniente o recomendable, hay que tener en cuenta varios factores y otras alternativas (cifrado de volúmenes o de archivos). Otro ejemplo pasa con el correo electrónico, que aún pudiendo usar pop3s/ imaps/smtps no siempre se habilita ni se usa. En fin, que con MySQL pasa como con el resto de aplicaciones, hay que determinar si esas bases de datos contienen información sensible y que por lo tanto hay que proteger o sólo contiene tablas con datos e información que es pública y accesible. Saludos, -- Camaleón -- To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/pan.2011.11.02.12.34...@gmail.com
Re: MySQL y sus datos
El 02/11/2011 06:34 a.m., Camaleón escribió:
El Tue, 01 Nov 2011 21:49:28 -0600, Gerardo Rogelio Flores escribió:
1o. Mysql como una aplicacion abierta deja la seguridad por default y es
responsabilidad del Administrador Servidor, DBA, Usuario , implementar
la seguridad en la medida que sea necesaria.
(...)
Lo dices como si fuera algo malo o algo raro :-?
A ver, sea una aplicación abierta o cerrada el nivel de seguridad
obviamente lo tiene que definir el administrador o el usuario, y esto
pasa como con todo, no sólo con las bdd.
Por ejemplo, hay quien necesita cifrar el disco duro de su equipo pero no
siempre esa opción resulta la mejor, la más conveniente o recomendable,
hay que tener en cuenta varios factores y otras alternativas (cifrado de
volúmenes o de archivos).
Otro ejemplo pasa con el correo electrónico, que aún pudiendo usar pop3s/
imaps/smtps no siempre se habilita ni se usa.
En fin, que con MySQL pasa como con el resto de aplicaciones, hay que
determinar si esas bases de datos contienen información sensible y que
por lo tanto hay que proteger o sólo contiene tablas con datos e
información que es pública y accesible.
Saludos,
Hola Camaleon,
Si es algo malo dejar por default cualquier cosa.
Mi respuesta se basa en la preocupacion de Jose Ma fernandez , la cual
algunas soluciones son las que mencione, y teniendo en cuenta que la
seguridad tiene su debilidad en el mismo servidor (site) , las
recomendaciones que añado son, aplicar algoritmos MD5 a todo password
, quitar el acceso a root remotamente, utilizar diferentes usuarios
(userApp, dba, consultorX, contadorX, administradorX), particionar en
diferentes archivos las tablas, bindar el servidor a una ip especifica,
bindar accesos de usuarios por ip, manejar accesos (SELECT , INSERT ,
UPDATE) para usuariosApp y un equema de borrado logico con campos
estatus, evitar lo posible delete.
en el servidor puedes especificar que solo cierto usuario pueda levantar
el demonio mysql, y tambien puedes algo para ofuscar la configuración es
cambiar el archivo de configuracion my.cnf sin borrar el default, y
colocarlo en otro lugar, en el archivo de arranque del demonio puedes
especificar el que es valido, tambien en la configuracion puedes mandar
la ruta a otro lugar como otro disco o particion, puedes mandar los
ejecutables para el cliente mysql a lugar para que no sean visibles en
el path compartido de usarios, y sobre todo todo esto es viable pero
tambien hay que pensar que uno tambien puede ser cambiado y debe dejar
toda la informacion disponible de seguridad en un documento.
A nivel de usuario, cualquier SQL injecion debe ser controlado , tambien
fomentar que password no deben ser cortos, pero si faciles de recordar y
construir, ejemplo. NuncaSabrasMiPassword es mejor que SD#RWsE{#
Si alguien toma control de la base remotamente tendra solamente lo que
dejaste ver, si alguien toma el control en sitio, solamente podra ver lo
que entienda y en el tiempo que pueda entender la BD.
La seguridad de Mysql es muy amplia y las formas de garantizar que los
datos no sean cambiados facilmente es variada, siempre hay alternativas
como comenta Camaleon pero en definitiva Mysql ofrece las propias.
algo que siempre eh escuchado: La computadora mas segura es la que no
esta prendida y no tiene nada adentro XD
Saludos!! si saben alguna forma mas de seguridad compartan.
--
To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: http://lists.debian.org/4eb229d1.2010...@yahoo.com.mx
Re: MySQL y sus datos
El Mon, 31 Oct 2011 23:49:57 +0100, Jose Mª Fernandez escribió: Hola a todos, en mi preocupación por la seguridad de los datos se me plantea la siguiente duda: MySQL guarda los datos de las bases de datos en /var/lib/mysql/ si se consigue acceder a ese directorio de cualquier manera, copiando los archivos que están ahí dentro podrían sacar los datos que contienen las tablas? Exacto, y si contiene nombres de usuario y contraseñas pues te puedes imaginar el lío si alguien con acceso no autorizado accede a su contenido :-( Al fin y al cabo las tablas están en texto claro, tendrías que cifrarlas para evitar que nadie tenga acceso a los datos. Saludos, -- Camaleón -- To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/pan.2011.11.01.11.40...@gmail.com
Re: MySQL y sus datos
El 01/11/2011 05:40 a.m., Camaleón escribió: El Mon, 31 Oct 2011 23:49:57 +0100, Jose Mª Fernandez escribió: Hola a todos, en mi preocupación por la seguridad de los datos se me plantea la siguiente duda: MySQL guarda los datos de las bases de datos en /var/lib/mysql/ si se consigue acceder a ese directorio de cualquier manera, copiando los archivos que están ahí dentro podrían sacar los datos que contienen las tablas? Exacto, y si contiene nombres de usuario y contraseñas pues te puedes imaginar el lío si alguien con acceso no autorizado accede a su contenido :-( Al fin y al cabo las tablas están en texto claro, tendrías que cifrarlas para evitar que nadie tenga acceso a los datos. Saludos, 2 1o. Mysql como una aplicacion abierta deja la seguridad por default y es responsabilidad del Administrador Servidor, DBA, Usuario , implementar la seguridad en la medida que sea necesaria. 2o Los datos si pueden ser recuperados desde tal directorio. 3o la opcion PASSWORD creo que ya no se usa para mysql 5.1, y ademas era para tablas myisam, pero si utilizas tablas INNODB los datos ya no son tan accesibles porque estan en modo binario y no son facilmente leibles, excepto por la opcion 2 antes mencionada. Algunas medidas de seguridad que puedes tomar para proteger esa carpeta es a nivel server, con comandos como chown , chmod, o simplemente creando un user para el demonio mysqld , siempre y cuando estes dispuesto a cambiar la configuracion de mysql con el archivo my.cnf , si deseas mayor informacion puedes leer la guia de seguridad de Mysql[1]. sin motivo de descartar mysql , te recomiendo leas sobre MariaDB. Saludos!! [1]http://dev.mysql.com/doc/refman/5.0/es/security-guidelines.html -- To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/4eb0bdc8.2000...@yahoo.com.mx
MySQL y sus datos
Hola a todos, en mi preocupación por la seguridad de los datos se me plantea la siguiente duda: MySQL guarda los datos de las bases de datos en /var/lib/mysql/ si se consigue acceder a ese directorio de cualquier manera, copiando los archivos que están ahí dentro podrían sacar los datos que contienen las tablas? Saludos -- José María Fernández
Fwd: MySQL y sus datos
Inicio del mensaje reenviado: Reenviado por: debian-user-spanish@lists.debian.org De: Jose Mª Fernandez josmaf...@gmail.com Asunto: MySQL y sus datos Fecha: 31 de octubre de 2011 16:49:57 CST Para: debian-user-spanish@lists.debian.org Hola a todos, en mi preocupación por la seguridad de los datos se me plantea la siguiente duda: MySQL guarda los datos de las bases de datos en /var/lib/mysql/ si se consigue acceder a ese directorio de cualquier manera, copiando los archivos que están ahí dentro podrían sacar los datos que contienen las tablas? Saludos -- José María Fernández Hola. Efectivamente se podría tener acceso (muy fácilmente) a la información de las tablas. De hecho sin mucho esfuerzo se podría reconstruir la o las bases de datos completas. _Creo_ que la única información a la que no se podría acceder de manera sencilla serían los campos tipo PASSWORD. No digo que no se pueda acceder a dicha información (lo desconozco) digo que no sería tan sencillo como con los demás campos. Así que si alguien accede a ese directorio, pues adiós seguridad. Saludos! Juan Manuel Acuña.
