为什么 redis 会设置 AUTH ?

[zilan]

最近正在学习 redis，发现 redis 需要设置一个密码 auth。就按照要求的做了。 但是回头一想，为什么要设置这样一个鉴权过程呢？ 有没有人研究过是出于什么样的安全考虑。

[lianxiaoyi]

你不用可以不设置啊。。。。而且 redis 开箱就是不带密码的啊。。。。。。参考当年 mongodb 事件。。。。而且最近比特币更贵了。。。。。

[Paddington]

@lianxiaoyi 不用 mongodb 事件，redis 就出过。。

[vus520]

楼主的 redis 一定没被黑过。

[wizardforcel]

数据库不设密码叫数据库嘛

[zilan]

多谢，想表述的其实是觉得这个 auth 有点鸡肋，如果是受信任环境就不需要，但如果是一个不受信任环境，端口，ip，甚至 auth 的连接都可能被抓到，相比起来只能算是最基础的防御了。所以觉得作为出厂的安全策略有点不太合适的样子。

[zilan]

没看到 append。。。。丢人了

[raphaelsoul]

今天发现开发服务器的 redis 被人写入了一条数据，一个 cron rule。
我看了一下 shell 脚本，一个门罗币的挖矿程序。

然而，我 redis 是在 docker 里跑的，hhhh

[andreby]

不设置 auth 不安全 好像那个 config 还是 info 还有问题 会被骇

[wmhack]

会被挖矿，我朋友亲身经历

[wmhack]

会被挖矿，我朋友亲身经历过

[douglarek]

楼主我觉得你说的对；完全没有必要；反正内网用

[lfzyx]

的确是毫无意义，redis 不支持 ssl 安全通讯协议，很容易被抓包，密码也是明文保存在配置文件中，auth 只是为了防止被网络运营商之外的人黑你，网络运营商和主机托管商要黑你还是分分钟的事

[zilan]

@douglarek 我已经分不清是在黑我还是在真心说了。。。。。。

[blueorange]

@hcymk2 牛皮

[pantingwen]

个人经历过的，在自己阿里云上装了一个 redis，允许外网访问，没有设置 auth 密码，然后就悲剧了（服务被人获取 root 权限）