Le 11/02/2015 à 12h 18

Il faut dire que la réponse de MongoDB est facile avec leur RTFM…

Perso, venant du monde des bases type MySQL (relationnelles donc), la création d’une base de données est souvent soumise à la création d’un user avec un mot de passe associés. Et c’est ultra simple !



Sous MongoDB, pour l’avoir essayé, je peux vous dire que l’aspect autentification est pour le moins … bizarre !

Déjà, juste mettre un “root” est laborieux, car il existe plein de niveau de “root access” ≠ en fonction de côté client, côté sysadmin, côté admin des bdd, …. Alors je ne vous parle même pas des accès “clients”…



On peut créer des bdd à la volée sans avoir d’accès, les scripts type Node.js qui utilisent beaucoup ce type d’approche ! Un des intérêts de MongoDB est que la bdd peut être stockée à côté des fichiers d’une application, mais sans forcément la protéger !



Je vous laisse lire ce billet “HowTo” :http://cwbuecheler.com/web/tutorials/2013/node-express-mongo/

Partie 3 pour la gestion de la bdd… Affligeant de voir que une majorité des apps nodejs utilise cette approche peu sécurisée.



Bref, MongoDB, si tu me lis, simplifie ta gestion des accès !!

Et les SysAdmins, RTFM !!

Fuinril a écrit :



Pas tout compris…





Si je résume certains admin virent la restriction de connexion par ip.

Bien, comme ils le font sur tous les daemons de BDD, que ce soit mysql

ou postgre ou sqlserver n’importe quoi….



Sauf que à ma

connaissance il y a des user/password pour se connecter à une BDD….

ce n’est pas parce qu’il est possible de se connecter au daemon qu’on

peut s’identifier dessus, c’est toute la différence entre une BDD

accessible (qui est discutablement une faille de sécu) et une BDD avec

“les portes grandes ouvertes” (qui en est une sans conteste).



J’ai du mal à imaginer que la connexion aux BDD d’un grand opérateur puisse s’effectuer via une connexion root sans mdp…





Pas mieux :)

Le 09/09/2014 à 06h 55

Plus ça va, et plus je me demande si je genre de “hacking” n’est pas le fruit non de gens revendant les infos mais plus de sociétés qui veulent par des méthodes peu recommandables se faire de nouveaux clients en sécurité informatique…

Le 26/06/2013 à 07h 41

youhou :)