Никогда не предоставляйте никому (кроме учетных записей MySQL root) доступ к таблице user в системной базе данных mysql! Это критически важно.

Изучите, как работает система привилегий доступа MySQL (см. раздел 8.2, «Управление доступом и управление учетными записями»). Используйте команды GRANT и REVOKE для управления доступом к MySQL. Не предоставляйте больше привилегий, чем необходимо. Никогда не предоставляйте привилегии всем хостам.

Список проверок:

Не храните пароли в открытом виде в своей базе данных. Если ваш компьютер будет скомпрометирован, злоумышленник может получить полный список паролей и использовать их. Вместо этого используйте SHA2() или какую-либо другую одностороннюю хеш-функцию и сохраняйте значение хэша.

Чтобы предотвратить восстановление паролей с помощью радужных таблиц, не используйте эти функции для простого пароля; вместо этого выберите какую-либо строку, которая будет использоваться в качестве соли, и используйте значения hash(hash(пароль)+соль).

Предполагайте, что все пароли будут подвергнуты автоматическим попыткам взлома с использованием списков известных паролей, а также целенаправленным угадыванием с использованием общедоступной информации о вас, такой как записи в социальных сетях. Не выбирайте пароли, состоящие из легко взламываемых или угадываемых элементов, таких как слово из словаря, имя собственное, название спортивной команды, аббревиатура или общеизвестная фраза, особенно если они относятся к вам. Использование заглавных букв, подстановок и добавлений чисел, а также специальных символов не помогает, если они используются предсказуемым образом. Также не выбирайте любой пароль, который вы видели использованным в качестве примера где-либо, или его вариацию, даже если он был представлен в качестве примера сильного пароля.

Вместо этого выбирайте пароли, которые как можно длиннее и непредсказуемее. Это не означает, что комбинация должна быть случайной строкой символов, которую трудно запомнить и воспроизвести, хотя это хороший подход, если у вас, например, есть программное обеспечение для управления паролями, которое может генерировать и заполнять такие пароли и хранить их безопасно. Фраза, содержащая несколько слов, легко создается, запоминается и воспроизводится и намного безопаснее, чем типичный выбранный пользователем пароль, состоящий из одного изменённого слова или предсказуемой последовательности символов. Чтобы создать безопасную фразу, убедитесь, что слова и другие элементы в ней не являются известной фразой или цитатой, не следуют в предсказуемом порядке и, желательно, вообще не имеют никакого предыдущего отношения друг к другу.

Инвестируйте в межсетевой экран. Это защищает вас по меньшей мере от 50% всех типов эксплойтов в любом программном обеспечении. Разместите MySQL за межсетевым экраном или в демилитаризованной зоне (DMZ).

Список проверок:

Приложения, которые обращаются к MySQL, не должны доверять никаким данным, введенным пользователями, и должны быть написаны с использованием надлежащих методов защитного программирования. См. раздел 8.1.7, «Руководство по безопасности клиентского программирования».

Не передавайте данные в открытом виде (без шифрования) через Интернет. Эта информация доступна каждому, у кого есть время и возможность перехватить ее и использовать в своих целях. Вместо этого используйте зашифрованный протокол, такой как SSL или SSH. MySQL поддерживает внутренние SSL-соединения. Другой метод — использовать SSH-туннелирование для создания зашифрованного (и сжатого) туннеля для связи.

Научитесь использовать утилиты tcpdump и strings. В большинстве случаев вы можете проверить, зашифрованы ли потоки данных MySQL, выполнив команду, аналогичную следующей:

$> tcpdump -l -i eth0 -w - src or dst port 3306 | strings

Это работает под Linux и должно работать с небольшими изменениями под другими системами.