Selbstinstallierte Verwaltungsprogramme bergen eine Vielzahl an Risiken.
Programme zur Datenbankadministration wie Adminer oder phpMyAdmin sind beliebte Werkzeuge zur Verwaltung von MySQL-Datenbanken. Sie ermöglichen den einfachen Umgang mit komplexen Datenbankstrukturen moderner Webanwendungen und werden häufig verwendet, um Backups zu erstellen, Zugriffsrechte zu verwalten oder Rohdaten in der Datenbank zu prüfen oder zu ändern.
Selbstinstallierte Verwaltungsprogramme bergen eine Vielzahl an Risiken hinsichtlich der Installation, Konfiguration oder deren Verwendung:
- Sie erhalten nur unregelmäßig Sicherheitsupdates, sodass bekannte Sicherheitslücken bestehen und ausgenutzt werden können.
- Zugangsdaten können durch fehlende verschlüsselte Verbindungen abgegriffen werden.
- Ein unsicherer Zugriffsschutz erleichtert einen Angriff bei gespeicherten Datenbankzugangsdaten.
- Konfigurations- oder Installationsdateien sind nicht vor öffentlichem Abruf gesichert, wodurch ein direkter Zugriff auf das System oder die Datenbank ermöglicht wird.
Datenbankverwaltungsprogramme sind grundsätzlich nicht unsicherer als andere Software, wir empfehlen jedoch besondere Sicherheitsmaßnahmen aufgrund des höheren potenziellen Sicherheitsrisikos bei Vollzugriff auf die Datenbanken.
Lösungsweg & Schutzmaßnahme
- Nutzen Sie das von uns für jeden Cluster zur Verfügung gestellte phpMyAdmin, um Ihre Datenbanken zu verwalten. Für den Zugriff darauf erzwingen wir eine SSL-verschlüsselte Verbindung, wir installieren regelmäßig die verfügbaren Sicherheitsupdates und kümmern uns bei der Installation und Konfiguration um alle sicherheitsrelevanten Aspekte.
- Nutzen Sie alternative Programme, die Sie auf Ihrem Rechner ausführen und welche über eine verschlüsselte SSH-Verbindung mit dem Datenbankserver kommunizieren, da diese nicht öffentlich erreichbar sind. Der Schutz Ihres Rechners vor unberechtigtem Zugriff ist hierbei obligatorisch.
- Wenn Sie ein anderes webbasiertes Verwaltungsprogramm als phpMyAdmin nutzen möchten, installieren Sie dieses am besten unter einer eigenen Domain, für welche Sie die SSL-Verschlüsselung erzwingen. Sichern Sie es durch einen zusätzlichen Passwortschutz, den Sie z. B. im Managed Center anlegen können. Wenn Sie Ihr jeweiliges Datenbankverwaltungsprogramm stets aktuell halten, der Zugang über eine verschlüsselte Verbindung erzwungen wird und die Eingabe starker Zugangsdaten erforderlich ist, kann dieses Programm auch öffentlich betrieben werden. Diese Anforderungen können wir jedoch nicht automatisiert prüfen.