redis(28):安全

骑猪看日落 2022-11-05 01:56 3阅读 0赞

> Redis的作者Salvatore Sanfilippo曾经发表过Redis宣言 ，其中提到Redis以简洁为美。 同样在安全层面Redis也没有做太多的工作。

--------------------

### 1.可信的环境 ###

> Redis的安全设计是在“Redis运行在可信环境”这个前提下做出的。在生产环境运行时不 能允许外界直接连接到 Redis 服务器上，而应该通过应用程序进行中转，运行在可信的环境 中是保证Redis安全的最重要方法。

Redis的默认配置会接受来自任何地址发送来的请求，即在任何一个拥有公网IP的服务器 上启动 Redis 服务器，都可以被外界直接访问到。要更改这一设置，在配置文件中修改bind 参数，`如只允许本机应用连接Redis`，可以将bind参数改成：

bind 127.0.0.1

bind参数只能绑定一个地址 ，如果想更自由地设置访问规则需要通过防火墙来完成。

--------------------

### 2.数据库密码 ###

除此之外，还可以通过配置文件中的requirepass参数为Redis设置一个密码。例如：

requirepass TAFK(@~!ji^XALQ(sYh5xIwTn5D$s7JF

客户端每次连接到 Redis 时都需要发送密码，否则 Redis 会拒绝执行客户端发来的命 令。例如：

redis> GET foo 
    (error) ERR operation not permitted 
    发送密码需要使用AUTH命令，就像这样： 
    redis> AUTH TAFK(@~!ji^XALQ(sYh5xIwTn5D$s7JF 
    OK
    之后就可以执行任何命令了： 
    redis> GET foo "1"

由于Redis的性能极高，并且输入错误密码后Redis并不会进行主动延迟（考虑到Redis的 单线程模型），所以攻击者可以`通过穷举法破解Redis的密码`（1秒内能够尝试十几万个密码），因此在设置时一定要选择复杂的密码。  
提示 配置 Redis 复制的时候如果主数据库设置了密码，需要在从数据库的配置文件中通 过masterauth参数设置主数据库的密码，以使从数据库连接主数据库时自动使用AUTH命令 认证。

--------------------

### 3. 命名命令 ###

Redis 支持在配置文件中将命令重命名，比如将 FLUSHALL 命令重命名成一个比较复杂 的名字，以保证只有自己的应用可以使用该命令。就像这样：

rename-command FLUSHALL oyfekmjvmwxq5a9c8usofuo369x0it2k

如果希望直接禁用某个命令可以将命令重命名成空字符串：

rename-command FLUSHALL ""

注意 无论设置密码还是重命名命令，都需要保证配置文件的安全性，否则就没有任何意 义了。