0

Использую в проекте на Laravel 4 Redis server для push уведомлений. Запускаю его и nodejs с помощью pm2. Все работает хорошо, но дней через 20 в момент когда должны сработать Push Notifications внезапно вижу сообщение NOAUTH Authentication required. Если перезапустить редис то все снова работает хорошо дней 20.

В чем может быть проблема?

1 ответ 1

1

Предположу, что у вас поднят незащищенный редис на стандартном порте, смотрящий прямо в интернет. В этом случае:

  • злоумышленник находит инстанс простым сканом
  • подключается, потому что пароль не нужен
  • выполняет команду CONFIG SET requirepass durr, устанавливая тем самым пароль "durr", и опционально читает все ваши данные
  • вы теряете доступ к своему сервису, потому что не стоит так просто относиться к защищенности веб-сервисов
  • после перезапуска конфиг считывается из файла, где пароль отсутствует, и вы снова захватываете контроль над редисом

Что с этим можно сделать?

  1. Прописать свой пароль в конфиге и использовать его при подключении
  2. Использовать шифрование канала (я никогда не пробовал, но уверен, что можно запретить подключаться всем, кроме владельца определенного сертификата)
  3. Сменить порт на несколько менее дефолтный
  4. Переименовать команду CONFIG во что-нибудь неожиданное
  5. Произвести аудит на наличие аналогов SQL-инъекций
  6. Прочитать оставшиеся советы на http://redis.io/topics/security
1
  • Спасибо! Поставила пароль, посмотрим поможет ли
    – bizzzz1
    7 янв 2016 в 19:27

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.