mysql システムデータベースの user テーブルへのアクセス権を (MySQL root アカウントを除く) ユーザーに付与しないでください。 これはきわめて重要です。

MySQL アクセス権限システムのしくみについて学習してください (セクション6.2「アクセス制御とアカウント管理」を参照してください)。 MySQL へのアクセスを制御するには、GRANT および REVOKE ステートメントを使用します。 必要以上の権限を付与しないでください。 すべてのホストに権限を付与してはいけません。

チェックリスト:

平文パスワードをデータベースに保管しないでください。 コンピュータのセキュリティーが損なわれた場合、侵入者はすべてのパスワードのリストを取得して使用することができます。 かわりに、SHA2() またはその他の一方向ハッシュ関数を使用してハッシュ値を格納します。

レインボーテーブルを使用したパスワードのリカバリを避けるために、これらの関数をプレーンテキストパスワードに使用しないようにしてください。代わりに、ソルトとして使用する何らかの文字列を選択して、hash(hash(パスワード)+ソルト) 値を使用してください。

辞書からパスワードを選択しないでください。 パスワードを解読する特殊なプログラムが存在します。 「xfish98」 のようなパスワードでさえも、非常に悪いものです。 同じ 「fish」 という単語を、標準 QWERTY キーボードでキー 1 個分左にずらしてタイプした 「duag98」 の方が、ずっと優れています。 別の方法は、文の各単語の先頭文字を取ったパスワードを使用することです (たとえば、「Four score and seven years ago」 からは 「Fsasya」 というパスワードができます)。 パスワードは覚えやすく入力も簡単ですが、文を知らない人は推測が困難です。 この事例で、数字を示す単語をさらに数値に置き換えて 「4 score and 7 years ago」 という句を作成し、「4sa7ya」 というさらに推測困難なパスワードを得ることができます。

ファイアウォールに投資します。 これにより、あらゆる種類のソフトウェアの悪用のうち、少なくとも 50% から保護されます。 MySQL をファイアウォールの背後または非武装地帯 (DMZ) に配置します。

チェックリスト:

MySQL にアクセスするアプリケーションは、ユーザーから入力されるすべてのデータを信頼しないようにし、適切な防御的プログラミング技術を使用して記述するようにします。 セクション6.1.7「クライアントプログラミングのセキュリティーガイドライン」を参照してください。

プレーンの (暗号化されていない) データをインターネット経由で送信しないでください。 この情報は、情報を傍受する時間と能力を持ち、自身の目的のために情報を使用するすべての人物からアクセスできます。 代わりに、SSL や SSH などの暗号化されたプロトコルを使用してください。 MySQL は、内部 SSL 接続をサポートします。 別の技術として、SSH ポートフォワーディングを使用して、暗号化された (および圧縮された) 通信用トンネルを作成する方法があります。

tcpdump や strings などのユーティリティーの使用法について学習します。 ほとんどの場合、次のようなコマンドを発行することによって、MySQL データストリームが暗号化されていない状態であるかどうかを検査できます。

shell> tcpdump -l -i eth0 -w - src or dst port 3306 | strings

これは Linux で動作するほか、ほかのシステムでもわずかな変更を行うことで動作するはずです。