Bases NoSQL abiertas y su modelo de acceso

En un motor relacional es raro encontrar uno que no pida usuario. En los NoSQL no tanto, y conviene saber por qué. MongoDB, según su documentación oficial, no activa el control de acceso por defecto: si nadie lo enciende en la configuración, cualquiera que llegue al puerto puede leer y escribir. Lo que lo protege en una instalación nueva es otra cosa: por defecto solo escucha en la propia máquina.

Redis sigue una idea parecida. Su documentación describe un modo protegido que entra en juego cuando el motor escucha en todas las interfaces y no tiene contraseña: en ese caso solo contesta a la propia máquina y rechaza al resto con un mensaje que explica cómo configurarlo bien.

La consecuencia para el evaluador: una base NoSQL abierta a la red casi nunca es un descuido de una sola línea. Alguien cambió dónde escucha y no encendió el acceso, o apagó la protección a mano.

El administrador de Nimaima hizo una consulta de solo lectura sin credenciales desde la VLAN de oficina contra cada motor NoSQL y entregó lo que respondió cada uno. Uno de los MongoDB entrega su lista de bases. Tres de los nombres son bases internas que trae el propio motor; la cuarta es la que importa.

Abre el laboratorio y lee la respuesta de cada motor.

Los dos MongoDB de Nimaima son del mismo equipo de administración y, aun así, uno rechaza la consulta sin credenciales y el otro no. La forma más rápida de ver por qué es comparar sus archivos de configuración línea a línea: lo que le falta a uno es lo que el otro tiene.

Esa comparación es además la recomendación del informe: el ajuste exacto que hay que añadir, escrito como lo escribe el motor.

Uno de los Redis tiene el modo protegido apagado, escucha en todas las interfaces y no pide contraseña. El administrador dice que no importa: «es solo caché, si se borra se vuelve a llenar». La documentación del propio motor advierte de dos riesgos que esa frase ignora: un cliente con acceso completo puede vaciar toda la base con una orden, y puede cambiar la configuración del motor, incluida la carpeta donde escribe sus archivos.

Además, «caché» no dice qué hay dentro: en muchas aplicaciones es donde viven las sesiones de los usuarios conectados.

Para el informe basta con la configuración y el conteo de claves que entregó el administrador: no se lee ninguna clave.