新闻资讯  快讯  焦点  财经  政策  社会
互 联 网   电商  金融  数据  计算  技巧
生活百科  科技  职场  健康  法律  汽车
手机百科  知识  软件  修理  测评  微信
软件技术  应用  系统  图像  视频  经验
硬件技术  知识  技术  测评  选购  维修
网络技术  硬件  软件  设置  安全  技术
程序开发  语言  移动  数据  开源  百科
安全防护  资讯  黑客  木马  病毒  移动
站长技术  搜索  SEO  推广  媒体  移动
财经百科  股票  知识  理财  财务  金融
教育考试  育儿  小学  高考  考研  留学
您当前的位置:首页 > IT > 数据库 > Redis

详解Redis缓存安全加固

时间:2019-06-11 10:13:38  来源:  作者:

概述

在众多开源缓存技术中,Redis无疑是目前功能最为强大,应用最多的缓存技术之一,参考2019年6月国外数据库技术权威网站DB-Engines关于key-value数据库流行度排名,Redis暂列第一位,但是原生Redis版本在安全方面非常薄弱,很多地方不满足安全要求,如果暴露在公网上,极易受到恶意攻击,导致数据泄露和丢失。

详解Redis缓存安全加固-合法监听接口,未公开接口,访问通道控制

 

所以今天主要从redis的合法监听接口,未公开接口,访问通道控制来介绍Redis缓存数据库加固措施。


01

合法监听接口

1、端口使用非默认端口

安全问题:Redis Server监听的端口默认为6379,容易被扫描攻击。

解决方案:修改为非默认端口,并在端口矩阵中说明。

2、监听地址不允许包括*

安全问题:Redis支持监听0.0.0.0。

解决方案:因为如果有多网卡,应该将监听地址设置为只有数据库客户端需要连接的网卡地址。如果只允许本机访问,应该只监听127.0.0.1。

详解Redis缓存安全加固-合法监听接口,未公开接口,访问通道控制

 

3、隐蔽的RedisCluster端口

安全问题:官方RedisCluster方案缺省会增加一个集群端口,且是在客户端端口偏移10000,这个问题非常隐蔽。

解决方案:在端口矩阵中对额外的这个集群端口有说明。修改源码,新增一个redis.conf偏移量配置项cluster-port-increment,缺省配置+1,这样可以做到端口范围可控,避免冲突。

 


02

未公开接口

1、账号管理(重要)

安全问题:Redis只有一个超户,权限过大。

解决方案:权限最小化原则,增加配置项,角色区分超户,普通用户和只读用户三种。

详解Redis缓存安全加固-合法监听接口,未公开接口,访问通道控制

 

普通用户不能进行的操作有:

详解Redis缓存安全加固-合法监听接口,未公开接口,访问通道控制

 


详解Redis缓存安全加固-合法监听接口,未公开接口,访问通道控制

 

2、Redis-cli隐藏密码

安全问题:通过在redis-cli指定-a参数,密码会被ps出来,属于敏感信息。

详解Redis缓存安全加固-合法监听接口,未公开接口,访问通道控制

 

解决方案:修改Redis源码,在main进入后,立即隐藏掉密码,避免被ps出来。

3、禁止在脚本中通过sudo方式切换用户执行redis-cli

安全问题: redis-cli访问参数带密码敏感信息,会被ps出来,也容易被系统记录操作日志。

解决方案:改为通过API方式(Python可以使用redis-py)来安全访问,禁止通过sudo方式切换到dbuser账号使用redis-cli。

重现条件:可以通过iptables禁掉redis端口来模拟重现。


03

访问通道控制

1、预共享秘钥认证(重要)

安全问题:Redis原生认证存在重放攻击:只是简单的交互一次auth xxx

解决方案:采用预共享秘钥(对称加密算法+随机数的双向认证),同时在方案设计上做到最大限度兼容,让客户端改造成本最小,目前平台配套目前支持客户端有:Java,Python,C,Lua。

方案设计如下:

Redis认证协议变更,其中auth命令区分两种功能,通过首字母区分:

详解Redis缓存安全加固-合法监听接口,未公开接口,访问通道控制

 

预共享秘钥认证时序图

详解Redis缓存安全加固-合法监听接口,未公开接口,访问通道控制

 

说明:Redis为文本协议, 安全随机数长度固定为32字节的可显示字符串,连接2个随机数的分隔符为”@”。

主要认证流程:

1.客户端向服务端执行命令: auth <RAND_C

1) 首字母<表示是认证第一阶段。(便于服务端从协议层区分)

2) RAND_C表示客户端生成安全随机数。

2.服务端产生响应错误回复

1) 获取RAND_C,并生成RAND_S

2) 产生TokenBA=AES128(RAND_S@RAND_C)

3) 响应错误回复:-ERR >TokenBA

说明:错误描述为服务端生成的安全随机数。

3.客户端验证

1) 验证TokenBA是否合法

解密出RAND_S@RAND_C,看看RAND_C是否是自己生成的随机数

2) 客户端产生TokenAB=AES128(RAND_C@RAND_S@dbname@ossdbuser@pwd)

3) 调用认证接口: auth >TokenAB

4.服务端认证

1) 验证TokenAB是否合法

解密出RAND_C@RAND_S,看看RAND_S是否是自己生成的随机数

2) 验证用户和密码合法性: dbname@ossdbuser@pwd

2、认证时加上库名

安全问题:Redis没有库名,系统如果只通过用户名+密码,容易猜测和攻击。

解决方案:通过认证时带上库名, 因为每个服务的库名都配置不同,增加攻击复杂度, 认证格式以dbname@dbuser@pwd区分。

3、端口矩阵

安全问题:Redis也是一种数据库服务,一般一个进程占用一个端口,集群还会额外多占用一个端口。

解决方案:在端口矩阵写明系统申请的Redis端口范围。

4、支持SSL通信

安全问题:增加SSL通信可以提高数据传输的安全。

解决方案:

1.不改动官方源码,通过在客户端和服务端部署SSL Proxy,类似stunnel。

2.支持SSL可配置,涉及开源代码修改。

说明:因为Redis属于交互密集型,每秒处理几万次请求,支持SSL后性能会有比较大损失。

5、支持ACL控制

安全问题:目前Redis没有ACL控制。

解决方案:

1. 目前基于平台共享秘钥,其中秘钥是随机生成,每套系统不一样,间接也做到了IP范围控制。

2. 通过iptables控制进一步限制接入IP范围。

3. 如果要具体控制到用户+IP级别,类似Mysql认证。redis开发作者antirez已经意识到这个问题,有望在未来版本提供。
 



Tags:Redis   点击:()  评论:()
声明:本站部分内容来自互联网,如有任何版权侵犯或其他问题请与我们联系,我们将立即删除或处理。
▌相关评论
发表评论 共有条评论
用户名: 密码:
验证码: 匿名发表
▌相关推荐
Redis有哪些数据结构?字符串String、字典Hash、列表List、集合Set、有序集合SortedSet。很多人面试时都遇到过这种场景吧?其实除了上面的几种常见数据结构,还需要加上 数据结构...【详细内容】
2019-06-11 redis  点击:(3)  评论:(0)  加入收藏
概述在众多开源缓存技术中,Redis无疑是目前功能最为强大,应用最多的缓存技术之一,参考2019年6月国外数据库技术权威网站DB-Engines关于key-value数据库流行度排名,Redis暂列第一...【详细内容】
2019-06-11 Redis  点击:(3)  评论:(0)  加入收藏
前言NoSQL,泛指非关系型的数据库。随着互联网不断的发展,传统的关系数据库在应付新互联网模式的网站,特别是超大规模和高并发的SNS类型的纯动态网站已经显得力不从心,暴露了很...【详细内容】
2019-06-11 数据库  点击:(3)  评论:(0)  加入收藏
面试疑问写在前面,看过本文,让那些没使用过redis的也能回答上来面试官的问题,不至于陷入太尴尬的境地!因为现在好多面试官不单单只是问你,用没用过redis,而是会一直问下去,比如:你项...【详细内容】
2019-06-06 Redis  点击:(6)  评论:(0)  加入收藏
概述Redis是一种基于客户端-服务端模型以及请求/响应协议的TCP服务。这意味着通常情况下一个请求会遵循以下步骤: 客户端向服务端发送一个查询请求,并监听Socket返回,通常是以...【详细内容】
2019-06-05 redis  点击:(6)  评论:(0)  加入收藏
rdb文件是redis实现持久化方式的一种,即通过save或bgsave操作,执行数据备份,生成的.rdb后缀的数据文件。save和bgsave都是调用rdbSave实现备份的,只不过save是阻塞式,bgsave是非...【详细内容】
2019-05-15 Redis  点击:(27)  评论:(0)  加入收藏
为什么需要持久化呢?通常情况下redis的数据全部存储在内存中,数据库一旦故障发生重启数据会全部丢失,即使是在redis cluster或者redis sentinel模式下主从同步数据的恢复仍然...【详细内容】
2019-05-15 Redis  点击:(13)  评论:(0)  加入收藏
概述redis跟memcached类似,都是内存数据库,不过redis支持数据持久化,也就是说redis可以将内存中的数据同步到磁盘来持久化,以确保redis 的数据安全。不过持久化这块可能比较容易...【详细内容】
2019-05-15 Redis  点击:(10)  评论:(0)  加入收藏
一、热点Key问题产生的原因 二、热点Key问题的危害 三、解决方案 四、热点 key 处理 五、方案对比一、热点Key问题产生的原因1、用户消费的数据远大于生产的数据(热卖商品、...【详细内容】
2019-05-15 Redis  点击:(17)  评论:(0)  加入收藏
最近在看 UNIX 网络编程并研究了一下 Redis 的实现,感觉 Redis 的源代码十分适合阅读和分析,其中 I/O 多路复用(mutiplexing)部分的实现非常干净和优雅,在这里想对这部分的内容...【详细内容】
2019-05-14 Redis  点击:(19)  评论:(0)  加入收藏
通过思维导图整理的Redis的重要知识点一、持久化 二、复制 三、阻塞 四、Redis内存 五、Redis内存优化 六、哨兵 七、缓存设计 ...【详细内容】
2019-05-10 Redis  点击:(12)  评论:(0)  加入收藏
Redis 是一个开源的,基于内存的结构化数据存储媒介,可以作为数据库、缓存服务或消息服务使用。Redis 支持多种数据结构,包括字符串、哈希表、链表、集合、有序集合、位图、Hype...【详细内容】
2019-05-05 Redis,数据结构  点击:(10)  评论:(0)  加入收藏
Redis5.0版是Redis产品的重大版本发布,我们先看一下它的最新特点:新的流数据类型(Stream data type) https://redis.io/topics/streams-intro新的 Redis 模块 API:定时器、集群...【详细内容】
2019-05-05 Redis  点击:(9)  评论:(0)  加入收藏
Redis本质上是一个Key-Value类型的内存数据库,很像memcached,整个数据库统统加载在内存当中进行操作,定期通过异步操作把数据库数据flush到硬盘上进行保存。...【详细内容】
2019-04-24 Redis  点击:(10)  评论:(0)  加入收藏
Redis是一个基于BSD开源的项目,是一个把结构化的数据放在内存中的一个存储系统,你可以把它作为数据库,缓存和消息中间件来使用。同时支持strings,lists,hashes,sets,sorted sets,bitmaps,hyperloglogs和geospatial indexes等数...【详细内容】
2019-04-04 Redis  点击:(13)  评论:(0)  加入收藏
推荐资讯
相关文章
栏目更新
栏目热门
'); })();