Ergebnis 1 bis 5 von 5

Thema: Postgres Sicherheit

  1. #1
    Rookee1985 ist offline Neuer Benutzer
    Registriert seit
    15.09.2011
    Beiträge
    3

    Frage Postgres Sicherheit

    Hey.. ich habe privat einen Postgres Server auf Debian am laufen. Nun beschäftigt mich die Frage wie ich den Postgres Server sicher bekomme.

    Meine bisherigen Sicherheitseinstellungen sind:

    - Zugriff nur von bestimmten IP's erlauben
    - User posgres nur local erlauben
    - Für jede Datenbank einen eigenen User
    - Für jeden Account ein Passwort festlegen; Mindestens 16 Zeichen z.B: akJd§1?ß94Kdjd!
    - Standardport von 5432 auf einen beliebigen anderen Port legen

    Aber was noch? Ich finde auch bedänklich das man quasi auf dem Postgres Port überhaupt nen Response bekommt und somit weiß auf dem Port die DB läuft...

    Falls einer noch ein paar mehr Tips hat, wäre ich sehr dankbar!

    Gruß Markus

  2. #2
    akretschmer ist offline Super-Moderator
    Registriert seit
    29.10.2006
    Ort
    Dresden
    Beiträge
    5.468

    Standard

    Zitat Zitat von Rookee1985 Beitrag anzeigen
    Hey.. ich habe privat einen Postgres Server auf Debian am laufen. Nun beschäftigt mich die Frage wie ich den Postgres Server sicher bekomme.

    Meine bisherigen Sicherheitseinstellungen sind:

    - Zugriff nur von bestimmten IP's erlauben
    - User posgres nur local erlauben
    - Für jede Datenbank einen eigenen User
    - Für jeden Account ein Passwort festlegen; Mindestens 16 Zeichen z.B: akJd§1?ß94Kdjd!
    - Standardport von 5432 auf einen beliebigen anderen Port legen

    Aber was noch? Ich finde auch bedänklich das man quasi auf dem Postgres Port überhaupt nen Response bekommt und somit weiß auf dem Port die DB läuft...

    Falls einer noch ein paar mehr Tips hat, wäre ich sehr dankbar!

    Gruß Markus
    Ausschalten?

    Im Ernst: warum sollte auf dem Port, wo das läuft, keine Antwort kommen? Entweder, Du willst Zugriffe über das Netz zulassen, dann geht das nicht anders. Oder Du willst das nicht, dann lasse ihn nicht am Port lauschen. Davon abgesehen: wieviele sicherheitsrelevante Bugs hatte PostgreSQL die letzten 20 Jahre? Ach ja: iptables existiert auch noch.


    Andreas
    --
    ads Das hatte dir akretschmer gestern schon gesagt und siehe da sobald du das machst, funktioniert es ;-)
    https://www.xing.com/profile/Andreas_Kretschmer7

  3. #3
    Gisman ist offline Erfahrener Benutzer
    Registriert seit
    20.01.2006
    Ort
    Pfalz
    Beiträge
    792

    Standard

    Bei mir kommt von ausserhalb des Intranet niemand direkt auf die Datenbank. Port 5432 ist am Gateway geschlossen. Leute, die einen ssh-key haben und Datenbanknutzer sind können sich einen ssh-Tunnel anlegen und sich darüber connecten. Webanwendungen oder Webservices haben ihre eigene Nutzerverwaltung, bzw. einen Nutzer mit angepassten Rechten, die nichts mit der DB zu tun hat oder nichts darf, so dass hier auch niemand direkt auf die DB kommt. Die Verwaltung der Zugriffe im Intranet erfolgt im Moment noch händisch, wird aber demnächst von einem ldap-server übernommen.

    Gruß Uwe

    Edit ein paar Anmerkungen:


    - Zugriff nur von bestimmten IP's erlauben

    Kann man machen, wird aber in einer mobilen und heterogenen Umgebung sehr lästig

    - User posgres nur local erlauben

    Das sowieso.

    - Für jede Datenbank einen eigenen User

    Kommt drauf an wieviele Datenbanken und Anwendungen du betreibst und wie die vernetzt sind.

    - Für jeden Account ein Passwort festlegen; Mindestens 16 Zeichen z.B: akJd§1?ß94Kdjd!

    Schwierig, den Nutzern beizubringen, sich in einer heterogenen Diensteumgebung 15 solcher Passwörter zu merken. Ist aber abhänging von der Anwendung und könnte z.B. über einen LDAP vereinheitlicht werden.

    - Standardport von 5432 auf einen beliebigen anderen Port legen

    Security by Obscurity bringt rein gar nix. Wenn einer mit nmap und Konsorten umgehen kann hat er den Port und die Anwendung innerhalb von Sekunden. Ich persönlich finde es auch bei der Administration lästig, sich ständig abweichende Ports merken zu müssen.

    Wenn wirklich ein Zugriff von aussen notwendig sein sollte, würde ist ssh oder vpn empfehlen. Hat auch den Nebeneffekt das der traffic gleich verschlüsselt ist.

    CU Uwe
    Geändert von Gisman (15.09.2011 um 10:51 Uhr)
    Have a lot of fun!

  4. #4
    Rookee1985 ist offline Neuer Benutzer
    Registriert seit
    15.09.2011
    Beiträge
    3

    Standard

    Nicht vom Standard Port antworten lassen, bezog sich auf Port-Knocking...

    Hm... VPN ist ne gute Idee... Da muss ich mal schauen wie ich das am besten löse...

    Ziel ist es einen Postgres Cluster mit 2 Knotenpunkten von 2-3 Webservern errechen zu lassen... und das möglichst sicher.

  5. #5
    ads
    ads ist offline Super-Moderator
    Registriert seit
    08.02.2006
    Ort
    MD
    Beiträge
    4.056

    Standard

    Port-Knocking ... und wie bringst du das deinen Webservern bei? *kopfschüttel*

    Wenn du die Webserver weisst, dann trag die IP-Adressen in die pg_hba.conf ein.
    Zusätzlich erstell eine Firewall-Regel, die nur Traffic von diesen IP-Adressen durchlässt.

    Als Bonus kommt ein Monitoring-System oben drauf, das den Traffic analysiert und nach verdächtigen Sachen Ausschau hält.
    Das kann aber nicht alle Angriffe finden, von daher sollte man sich da nicht 100% drauf verlassen.

    Oh, und du solltest dir im Klaren sein, das deine Webserver dann das Haupteinfallstor für Angriffe sein werden ...
    Xandrian: Kurz gesagt: Du hast ein falsches Konzept und willst nicht auf ads hören

    Jetzt NEU: PostgreSQL - Datenbankpraxis für Anwender, Administratoren und Entwickler

    PostgreSQL Service & Support

Ähnliche Themen

  1. C Funktionen - Sicherheit
    Von damike im Forum Programmierung
    Antworten: 6
    Letzter Beitrag: 16.11.2008, 15:05
  2. Migration Unix-Postgres to Windows-Postgres?
    Von Spiderman im Forum Migration
    Antworten: 1
    Letzter Beitrag: 12.10.2007, 07:05
  3. Antworten: 3
    Letzter Beitrag: 04.05.2006, 19:21

Stichworte

Berechtigungen

  • Neue Themen erstellen: Nein
  • Themen beantworten: Nein
  • Anhänge hochladen: Nein
  • Beiträge bearbeiten: Nein
  •  

Links: Tobias Bauer - IT- und Funkdienstleistungen   -   Bilderrahmen-kaufen.de - Der Onlineshop für Bilderrahmen & Fotorahmen   -   Funkforum