MongoDB의 보안 문제

Question

MongoDB의 보안 나의 신뢰가 흔들리고있다, 나는 그것이 내가 뭔가를 잘못하고 있어요 설명과 함께 복원됩니다 호핑있어 ... 나는이 같은 MongoDB를의 Windows 서비스를 만들었습니다

:

mongod --logpath "C : \ MongoDB를 로그 \"--logappend --dbpath "C : \ MongoDB를 \ 데이터 \ DB를"--serviceName MongoDB를 --serviceDisplayName "몽고 DB"--port 27017 --auth --install

그런 다음 DB를 만들고 해당 DB의 system.users 컬렉션에 관리 사용자를 추가했습니다.

그런 다음 DB에 임의의 정보를 입력하여 작성한 테스트 컬렉션에 채웠습니다.

지금까지

, 나는이 같은 서비스를 제거

... ... 이제

중요한 부분 모든 위대하고 내가 관리자 자격 증명이있는 경우에만 DB에 액세스 할 수 있어요 :

mongod --remove --serviceName "MongoDB를"그럼

나는 서비스를 다시 있지만 인증 등으로 이 :

mongod --logpath "C : \ MongoDB를 로그 \"--logappend --dbpath "C : \ MongoDB를 \ 데이터 \ DB를"--serviceName MongoDB를 --serviceDisplayName "몽고 DB"- 내가해야

가 알려주세요 ... 날 놀라게 무엇 27017 --noauth --install

내가 지금 내가 지금 인증을 만든 DB에 액세스 할 수 있음이다 -port 다르게 뭔가를했다. 당신이 만든 구성 실수는 당신이 당신의 데이터베이스에 모든 인증 수단을 사용할 것을

Default: true 

Disable authentication. Currently the default. Exists for future compatibility and clarity. 

For consistency use the auth option. 

source

NOAUTH :

Answer 1

없음 인증은 자격 증명을 제공 해달라고 의미 .

Answer 2

인증은 데이터베이스 레벨이 아닌 디먼 레벨에서 발생합니다. 데이터 자체는 암호화되거나 액세스 제어되지 않습니다. 자격 증명을 요구하지 않고 서비스를 실행하면 예상대로 연결하고 사용하는 데 자격 증명이 필요하지 않습니다.

서버에 대한 액세스 권한이 있고 데몬을 수정할 수있는 것처럼 일반적으로 문제가되는 것으로 간주되지 않습니다. 정의에 따라 데이터 파일에 액세스 할 수 있습니다.

Answer 3

음 ...

텍스트 편집기로 데이터베이스 파일을 편집하면 저장된 정보를 볼 수 있으므로 정보가 암호화되지 않습니다.

필자의 의견으로는 ideias의 순서대로 보안 데이터베이스에서 mongodump 또는 mongorestore 명령을 실행할 때 사용자와 암호를 지정하는 것이 좋습니다. 직접적으로 보자면, 나쁜 의도로 관리자가 데이터를 내보내는 데 관심이 있다면, 당연히 훨씬 더 많은 작업을 통해 데이터베이스 파일 자체를 편집 할 수 있습니다. P

인증은 데이터베이스 수준의 인스턴스가 아닙니다. 그 자체가 (관리 데이터베이스를 통해),하지만 내 생각에 그는 Windows 서비스를 제거하기 위해 인증을 지정할 필요가 없기 때문에 baddly intencioned 사용자가 DB 정보를 얻는 것이 매우 쉽습니다. ...

고맙습니다 너의 의견!