Como instalar e proteger o Redis no Ubuntu 22.04

Introdução

O Redis é um armazenamento de chave-valor em memória conhecido por sua flexibilidade, desempenho e amplo suporte a idiomas. Este tutorial demonstra como instalar, configurar e proteger o Redis em um servidor Ubuntu 22.04.

Pré-requisitos

Para concluir este guia, você precisará de acesso a um servidor Ubuntu 22.04 que tenha um usuário não root com privilégios de sudo e um firewall configurado com ufw. Você pode configurar isso seguindo nosso Guia de Configuração Inicial do Servidor para Ubuntu 22.04.

Passo 1 — Instalando e Configurando o Redis

Vamos usar o gerenciador de pacotes APT para instalar o Redis nos repositórios oficiais do Ubuntu. No momento desta escrita, a versão disponível nos repositórios padrão é 6.0.16.

Comece atualizando o cache local de pacotes apt:

sudo apt update

Em seguida, instale o Redis digitando:

sudo apt install redis-server

Isso irá baixar e instalar o Redis e suas dependências. Após isso, há uma importante mudança de configuração a ser feita no arquivo de configuração do Redis, que foi gerado automaticamente durante a instalação.

Abra este arquivo com o seu editor de texto preferido:

sudo nano /etc/redis/redis.conf

Dentro do arquivo, encontre a diretiva supervised. Esta diretiva permite que você declare um sistema init para gerenciar o Redis como um serviço, fornecendo mais controle sobre sua operação. A diretiva supervised é definida como no por padrão. Como você está executando o Ubuntu, que usa o sistema init systemd, altere isso para systemd:

. . .

# Se você estiver executando o Redis a partir do upstart ou systemd, o Redis pode interagir com sua
# árvore de supervisão. Opções:
#   supervised no      - nenhuma interação de supervisão
#   supervised upstart - sinaliza upstart colocando o Redis no modo SIGSTOP
#   supervised systemd - sinaliza systemd escrevendo READY=1 em $NOTIFY_SOCKET
#   supervised auto    - detecta o método upstart ou systemd baseado em
#                        variáveis de ambiente UPSTART_JOB ou NOTIFY_SOCKET
# Nota: esses métodos de supervisão apenas sinalizam "processo está pronto."
#       Eles não habilitam pings de vitalidade contínuos de volta para seu supervisor.
supervised systemd

. . .

Essa é a única alteração que você precisa fazer no arquivo de configuração do Redis neste momento, então salve e feche-o quando terminar. Se você usou nano para editar o arquivo, faça isso pressionando CTRL + X, Y, e então ENTER.

Em seguida, reinicie o serviço do Redis para refletir as alterações feitas no arquivo de configuração:

sudo systemctl restart redis.service

Com isso, você instalou e configurou o Redis e ele está em execução em sua máquina. Antes de começar a usá-lo, no entanto, é prudente verificar primeiro se o Redis está funcionando corretamente.

Passo 2 — Testando o Redis

Assim como com qualquer software recém-instalado, é uma boa ideia garantir que o Redis esteja funcionando conforme o esperado antes de fazer mais alterações em sua configuração. Vamos examinar algumas maneiras de verificar se o Redis está funcionando corretamente neste passo.

Comece verificando se o serviço do Redis está em execução:

sudo systemctl status redis

Se estiver em execução sem erros, este comando produzirá uma saída semelhante à seguinte:

Output
● redis-server.service - Advanced key-value store
     Loaded: loaded (/lib/systemd/system/redis-server.service; enabled; vendor preset: enabled)
     Active: active (running) since Wed 2022-04-20 20:40:52 UTC; 4s ago
       Docs: http://redis.io/documentation,
             man:redis-server(1)
   Main PID: 2899 (redis-server)
     Status: "Ready to accept connections"
      Tasks: 5 (limit: 2327)
     Memory: 2.5M
        CPU: 65ms
     CGroup: /system.slice/redis-server.service
             └─2899 "/usr/bin/redis-server 127.0.0.1:6379
. . .

Esta saída indica que o Redis está em execução e já está habilitado, o que significa que está configurado para iniciar toda vez que o servidor é inicializado.

sudo systemctl disable redis

Para testar se o Redis está funcionando corretamente, conecte-se ao servidor usando redis-cli, o cliente de linha de comando do Redis:

redis-cli

No prompt que aparecer, teste a conectividade com o comando ping:

ping

Output
PONG

Esta saída confirma que a conexão com o servidor está ativa. Em seguida, verifique se você é capaz de definir chaves executando:

set test "It's working!"

Output
OK

Recupere o valor digitando:

get test

Assumindo que tudo está funcionando, você será capaz de recuperar o valor que você armazenou:

Output
"It's working!"

Após confirmar que você pode buscar o valor, saia do prompt do Redis para voltar ao shell:

exit

Como último teste, vamos verificar se o Redis é capaz de persistir dados mesmo depois de ter sido parado ou reiniciado. Para fazer isso, primeiro reinicie a instância do Redis:

sudo systemctl restart redis

Depois, conecte-se novamente com o cliente de linha de comando:

redis-cli

E confirme que seu valor de teste ainda está disponível:

get test

O valor da sua chave ainda deve ser acessível:

Output
"It's working!"

Saia novamente para o shell quando terminar:

exit

Com isso, sua instalação do Redis está totalmente operacional e pronta para uso. No entanto, algumas de suas configurações padrão são inseguras e fornecem oportunidades para atacantes maliciosos obterem acesso ao seu servidor e seus dados. Os próximos passos deste tutorial cobrem métodos para mitigar essas vulnerabilidades, conforme prescrito pelo site oficial do Redis. Embora esses passos sejam opcionais e o Redis ainda funcionará se você optar por não segui-los, é altamente recomendado que você os conclua para fortalecer a segurança do seu sistema.

Passo 3 — Vinculando ao localhost

Por padrão, o Redis só é acessível a partir do localhost. No entanto, se você instalou e configurou o Redis seguindo um tutorial diferente deste, pode ter atualizado o arquivo de configuração para permitir conexões de qualquer lugar. Isso não é tão seguro quanto vincular ao localhost.

Para corrigir isso, abra o arquivo de configuração do Redis para edição:

sudo nano /etc/redis/redis.conf

Localize esta linha e certifique-se de que ela está descomentada (remova o # se existir):

. . .
bind 127.0.0.1 ::1
. . .

Salve e feche o arquivo quando terminar (pressione CTRL + X, Y, depois ENTER).

Em seguida, reinicie o serviço para garantir que o systemd leia suas alterações:

sudo systemctl restart redis

Para verificar se essa alteração teve efeito, execute o seguinte comando netstat:

sudo netstat -lnp | grep redis

Output
tcp        0      0 127.0.0.1:6379          0.0.0.0:*               LISTEN      14222/redis-server  
tcp6       0      0 ::1:6379                :::*                    LISTEN      14222/redis-server  

sudo apt install net-tools

Esta saída mostra que o programa redis-server está vinculado ao localhost (127.0.0.1), refletindo a alteração que você acabou de fazer no arquivo de configuração. Se houver outro endereço IP nesta coluna (0.0.0.0, por exemplo), então você deve verificar novamente se descomentou a linha correta e reiniciar o serviço do Redis novamente.

Agora que sua instalação do Redis está apenas ouvindo em localhost, será mais difícil para atores maliciosos fazerem solicitações ou ganharem acesso ao seu servidor. No entanto, o Redis não está atualmente configurado para exigir que os usuários se autentiquem antes de fazerem alterações em sua configuração ou nos dados que ele contém. Para remediar isso, o Redis permite que você exija que os usuários se autentiquem com uma senha antes de fazerem alterações via cliente Redis (redis-cli).

Passo 4 — Configurando uma Senha do Redis

Configurar uma senha do Redis habilita um de seus dois recursos de segurança embutidos — o comando auth, que requer que os clientes se autentiquem para acessar o banco de dados. A senha é configurada diretamente no arquivo de configuração do Redis, /etc/redis/redis.conf, então abra esse arquivo novamente com seu editor preferido:

sudo nano /etc/redis/redis.conf

Role até a seção SECURITY e encontre uma diretiva comentada que diz:

. . .
# requirepass foobared
. . .

Remova o comentário removendo o #, e altere foobared para uma senha segura.

. . .
# Aviso: como o Redis é bastante rápido, um usuário externo pode tentar até
# 150 mil senhas por segundo contra um bom servidor. Isso significa que você deve
# usar uma senha muito forte, caso contrário será muito fácil de quebrar.
#
. . .

openssl rand 60 | openssl base64 -A

Output
RBOJ9cCNoGCKhlEBwQLHri1g+atWgn4Xn4HwNUbtzoVxAYxkiYBi7aufl4MILv1nxBqR4L6NNzI0X6cE

/etc/redis/redis.conf
requirepass RBOJ9cCNoGCKhlEBwQLHri1g+atWgn4Xn4HwNUbtzoVxAYxkiYBi7aufl4MILv1nxBqR4L6NNzI0X6cE

Após definir a senha, salve e feche o arquivo. Em seguida, reinicie o Redis:

sudo systemctl restart redis.service

Para testar se a senha funciona, abra o cliente Redis:

redis-cli

O seguinte mostra uma sequência de comandos usados para testar se a senha do Redis funciona. O primeiro comando tenta definir uma chave com um valor antes da autenticação:

set key1 10

Isso não funcionará porque você não autenticou, então o Redis retorna um erro:

Output
(error) NOAUTH Authentication required.

O próximo comando autentica com a senha especificada no arquivo de configuração do Redis:

auth your_redis_password

O Redis confirma:

Output
OK

Depois disso, executar o comando anterior novamente será bem-sucedido:

set key1 10

Output
OK

get chave1 consulta o Redis para o valor da nova chave.

get key1

Output
"10"

Depois de confirmar que você é capaz de executar comandos no cliente Redis após autenticar, você pode sair do redis-cli:

quit

Em seguida, vamos revisar a renomeação de comandos Redis que, se inseridos por engano ou por um ator malicioso, poderiam ter sérios impactos em seus dados.

Passo 5 — Renomear Comandos Perigosos

O outro recurso de segurança incorporado ao Redis envolve renomear ou desabilitar completamente certos comandos considerados perigosos.

Quando executados por usuários não autorizados, tais comandos podem ser usados para reconfigurar, destruir ou de outra forma limpar seus dados. Assim como a senha de autenticação, renomear ou desabilitar comandos é configurado na mesma seção SECURITY do arquivo /etc/redis/redis.conf.

Alguns dos comandos considerados perigosos incluem: FLUSHDB, FLUSHALL, KEYS, PEXPIRE, DEL, CONFIG, SHUTDOWN, BGREWRITEAOF, BGSAVE, SAVE, SPOP, SREM, RENAME e DEBUG. Esta não é uma lista abrangente, mas renomear ou desabilitar todos os comandos dessa lista é um bom ponto de partida para aumentar a segurança do seu servidor Redis.

Se você deve desabilitar ou renomear um comando depende das suas necessidades específicas ou das do seu site. Se você sabe que nunca usará um comando que possa ser abusado, então você pode desabilitá-lo. Caso contrário, pode ser do seu interesse renomeá-lo.

Para renomear ou desabilitar comandos do Redis, abra o arquivo de configuração mais uma vez:

sudo nano  /etc/redis/redis.conf

Para desabilitar um comando, renomeie-o para uma string vazia (indicada por um par de aspas sem caracteres entre elas), como mostrado abaixo:

. . .
# Também é possível matar completamente um comando renomeando-o para
# uma string vazia:
#
rename-command FLUSHDB ""
rename-command FLUSHALL ""
rename-command DEBUG ""
. . .

Para renomear um comando, dê a ele outro nome, conforme mostrado nos exemplos abaixo. Os comandos renomeados devem ser difíceis de serem adivinhados por outros, mas fáceis de serem lembrados por você:

. . .
# rename-command CONFIG ""
rename-command SHUTDOWN SHUTDOWN_MENOT
rename-command CONFIG ASC12_CONFIG
. . .

Salve suas alterações e feche o arquivo.

Após renomear um comando, aplique a mudança reiniciando o Redis:

sudo systemctl restart redis.service

Para testar o novo comando, entre na linha de comando do Redis:

redis-cli

Em seguida, autentique-se:

auth your_redis_password

Output
OK

Vamos assumir que você renomeou o comando CONFIG para ASC12_CONFIG, como no exemplo anterior. Primeiro, tente usar o comando original CONFIG. Deverá falhar, pois você o renomeou:

config get requirepass

Output
(error) ERR unknown command `config`, with args beginning with:

Chamar o comando renomeado, no entanto, será bem-sucedido. Não diferencia maiúsculas de minúsculas:

asc12_config get requirepass

Output
1) "requirepass"
2) "your_redis_password"

Finalmente, você pode sair do redis-cli:

exit

Observe que se você já estiver usando a linha de comando do Redis e depois reiniciar o Redis, será necessário reautenticar. Caso contrário, você receberá este erro se digitar um comando:

Output
NOAUTH Authentication required.

. . .
# Por favor, note que alterar o nome de comandos que são registrados no
# arquivo AOF ou transmitidos para réplicas pode causar problemas.
. . .

Conclusão

Neste tutorial, você instalou e configurou o Redis, validou que sua instalação do Redis está funcionando corretamente e usou seus recursos de segurança integrados para torná-lo menos vulnerável a ataques de atores maliciosos.

Lembre-se de que uma vez que alguém esteja logado no seu servidor, é muito fácil contornar os recursos de segurança específicos do Redis que implementamos. Portanto, o recurso de segurança mais importante no seu servidor Redis é o seu firewall (que você configurou se seguiu o tutorial pré-requisito Configuração Inicial do Servidor), pois isso torna extremamente difícil para atores maliciosos ultrapassarem essa barreira.