百度360必应搜狗淘宝本站头条
shell 字符串比较my.cnfword空格下划线不显示applicationcontextawaremaven镜像
当前位置：网站首页 > 技术资源 > 正文

MySQL运维实战(2.4) SSL认证在MySQL中的应用

lipiwang 2024-10-20 10:11 15 浏览 0 评论

作者：俊达

引言

MySQL支持使用TLS协议进行通信，该协议在数据库通信中具有关键作用。首先，TLS能够加密客户端与服务端之间的通信数据，涵盖了客户端发送至服务端的SQL请求以及服务端返回给客户端的数据，从而确保敏感信息的保密性和完整性。除此之外，TLS还允许客户端验证服务端的身份，确保安全连接。同时，TLS还使得服务端能够验证客户端的身份，实现双向认证，从而进一步增强了通信安全性和互信性。这些TLS功能在MySQL通信中发挥着重要作用，为数据传输提供了必要的保护和验证机制。

1 Server端开启SSL

服务端默认已经开启SSL，可以通过如下命令查看是否支持SSL：

参数have_ssl为 YES

| have_openssl  | YES             |
| have_ssl      | YES             |
| ssl_ca        | ca.pem          |
| ssl_capath    |                 |
| ssl_cert      | server-cert.pem |
| ssl_cipher    |                 |
| ssl_crl       |                 |
| ssl_crlpath   |                 |
| ssl_key       | server-key.pem  |

参数说明：

参数

说明

have_openssl

和have_ssl一样

have_ssl

YES: 启用SSL


DISABLED: 已经编译了SSL功能，但是没有开启

ssl_ca

CA文件，默认是ca.pem

ssl_capath

CA文件路径，默认为空。mysqld会从datadir查找ca.pem

ssl_cert

服务端证书，默认server-cert.pem.

ssl_cipher

SSL加密方式，默认为空

ssl_crl

certificate revocation lists文件，默认为空

ssl_crlpath

certificate revocation lists文件路径，默认为空

ssl_key

服务端证书私钥，默认server-key.pem.

server端启用SSL，需要ca.pem, server-cert.pem, server-key.pem 3个文件。
客户端需要有ca.pem, client-cert.pem, client-key.pem 3个文件。

2 客户端SSL

使用mysql客户端连接到服务端时，默认会使用加密通信，
登陆后输入 \s, 或者show status like ‘ssl_cipher’，如果看Cipher信息，说明连接已经开启加密通信

[root@box1 mysql]# mysql -uroot -h127.0.0.1 -P3306 -phello
Server version: 5.7.32 MySQL Community Server (GPL)
...
Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.

mysql> \s
--------------
mysql  Ver 14.14 Distrib 5.7.32, for Linux (x86_64) using  EditLine wrapper

Connection id:		23
Current database:
Current user:		root@localhost
SSL:			Cipher in use is ECDHE-RSA-AES128-GCM-SHA256
Current pager:		stdout
Using outfile:		''
Using delimiter:	;
Server version:		5.7.32 MySQL Community Server (GPL)
Protocol version:	10
Connection:		127.0.0.1 via TCP/IP
Server characterset:	latin1


mysql> show status like 'ssl_cipher';
+---------------+-----------------------------+
| Variable_name | Value                       |
+---------------+-----------------------------+
| Ssl_cipher    | ECDHE-RSA-AES128-GCM-SHA256 |

2.1 客户端禁用ssl通信

mysql客户端登陆时加上 --ssl-mode=disabled禁用TLS通信

mysql -uroot -h127.0.0.1 -P3306 -phello --ssl-mode=disabled

mysql> \s
--------------
mysql  Ver 14.14 Distrib 5.7.32, for Linux (x86_64) using  EditLine wrapper

Connection id:		25
Current database:
Current user:		root@localhost
SSL:			Not in use
Current pager:		stdout


mysql> show status like 'ssl_cipher';
+---------------+-------+
| Variable_name | Value |
+---------------+-------+
| Ssl_cipher    |       |
+---------------+-------+

2.2客户端要求验证服务端证书

客户端可以要求验证服务端的证书。

mysql客户端将ssl-mode参数设置为verify_ca或verify_identity, 同时需要提供用来签名的ca证书。

verify_ca的作用，是为了让服务端证明，他的证书是客户端参数中的指定的ca签名的。其他服务器无法冒充。

mysql -uroot -h127.0.0.1 -P3306 -phello --ssl-mode=verify_ca --ssl-ca=ca.pem

 show status like 'ssl_cipher';
+---------------+-----------------------------+
| Variable_name | Value                       |
+---------------+-----------------------------+
| Ssl_cipher    | ECDHE-RSA-AES128-GCM-SHA256 |

如果证书验证不通过，客户端连接会报错。服务端日志中也能看到相关报错信息。

### client
root@box1 mysql]# mysql -uroot -h127.0.0.1 -P3306 -phello --ssl-mode=verify_ca --ssl-ca=/data/mysql01/data/ca.pem
mysql: [Warning] Using a password on the command line interface can be insecure.
ERROR 2026 (HY000): SSL connection error: error:00000001:lib(0):func(0):reason(1)

### server
[root@box1 mysql]# tail -1 /var/log/mysqld.log
2021-03-31T23:34:20.461350Z 28 [Note] Bad handshake

3 服务端要求验证客户端使用SSL登录

虽然服务端开启了SSL，但是默认情况下用户可以选择启用或不启用加密通信。
服务端可以强制要求客户端使用加密通信，也可以要求客户端证明自己的身份。
这可以在创建用户的时候指定。

CREATE USER 'user_1'@'%'  identified by 'hello' require ssl;
CREATE USER 'user_2'@'%'  identified by 'hello' require x509;
CREATE USER 'user_3'@'%'  identified by 'hello' require cipher 'ECDHE-RSA-AES256-GCM-SHA384';
CREATE USER 'user_4'@'%'  identified by 'hello' require cipher 'ECDHE-ECDSA-AES256-GCM-SHA384';
CREATE USER 'user_5'@'%'  identified by 'hello' require issuer 'www.dtstack.com' ;
CREATE USER 'user_6'@'%'  identified by 'hello' require subject '/CN=client.dtstack.com';

上面创建的用户中，

user_1必须开启SSL加密才能连接到服务器

user_2需要使用x509证书格式

user_3需要使用cipher ECDHE-RSA-AES256-GCM-SHA384

user_4需要使用cipher ECDHE-ECDSA-AES256-GCM-SHA384

user_5需要使用www.dtstack.com签发的证书

user_6需要使用subject为client.dtstack.com的证书

4测试用户信息

select user,host, ssl_type, ssl_cipher, x509_issuer, x509_subject from mysql.user where user like 'user%';
+--------+------+-----------+-------------------------------+-----------------+------------------------+
| user   | host | ssl_type  | ssl_cipher                    | x509_issuer     | x509_subject           |
+--------+------+-----------+-------------------------------+-----------------+------------------------+
| user_1 | %    | ANY       |                               |                 |                        |
| user_2 | %    | X509      |                               |                 |                        |
| user_3 | %    | SPECIFIED | ECDHE-RSA-AES256-GCM-SHA384   |                 |                        |
| user_4 | %    | SPECIFIED | ECDHE-ECDSA-AES256-GCM-SHA384 |                 |                        |
| user_5 | %    | SPECIFIED |                               | www.dtstack.com | client.dtstack.com     |
| user_6 | %    | SPECIFIED |                               |                 | /CN=client.dtstack.com |
+--------+------+-----------+-------------------------------+-----------------+------------------------+

4.1强制SSL

user_1登陆，如果不开启ssl-mode，登陆报错。使用SSL才能登陆

[root@box1 pki]# mysql -uuser_1 -phello -h127.0.0.1 --ssl-mode=disabled
mysql: [Warning] Using a password on the command line interface can be insecure.
ERROR 1045 (28000): Access denied for user 'user_1'@'localhost' (using password: YES)

[root@box1 pki]# mysql -uuser_1 -phello -h127.0.0.1
...
Type 'help;' or '\h' for help. Type '\c' to clear the current input statement.

mysql> \s
...
Current user:		user_1@localhost
SSL:			Cipher in use is ECDHE-RSA-AES128-GCM-SHA256

4.2强制使用客户端证书

user_2需要x509证书才能登陆

[root@box1 pki]# mysql -uuser_2 -phello -h127.0.0.1
ERROR 1045 (28000): Access denied for user 'user_2'@'localhost' (using password: YES)

[root@box1 pki]# mysql -uuser_2 -phello -h127.0.0.1 --ssl-mode=required
ERROR 1045 (28000): Access denied for user 'user_2'@'localhost' (using password: YES)

[root@box1 pki]# mysql -uuser_2 -phello -h127.0.0.1  --ssl-cert=client-cert.pem --ssl-key=client-key.pem
...
Welcome to the MySQL monitor.  Commands end with ; or \g.
mysql> \s
...
Current user:		user_2@localhost
SSL:			Cipher in use is ECDHE-RSA-AES128-GCM-SHA256

4.3 强制指定客户端cipher

user_3指定了cipher, 无法登陆。 可以从服务端alert.log查看登陆失败的原因。

[root@box1 pki]# mysql -uuser_3 -pxhello -h127.0.0.1 --ssl-mode=required --ssl-cert=client-cert.pem --ssl-key=client-key.pem
ERROR 1045 (28000): Access denied for user 'user_3'@'localhost' (using password: YES)

### 服务端日志
[root@box1 mysql]# tail -1 /var/log/mysqld.log2021-04-01T00:07:44.216859Z 51 [Note] X509 ciphers mismatch: should be 'ECDHE-RSA-AES256-GCM-SHA384' but is 'ECDHE-RSA-AES128-GCM-SHA256'
2021-04-01T00:07:44.216915Z 51 [Note] Access denied for user 'user_3'@'localhost' (using password: YES)

说明了cipher不满足要求。
my.cnf增加ssl_ciphper参数，重启服务

[root@box1 mysql]# tail -1 /etc/my.cnf
ssl_cipher=ECDHE-RSA-AES256-GCM-SHA384
[root@box1 mysql]# service mysqld restart
Redirecting to /bin/systemctl restart mysqld.service
-- 再次尝试登陆，可以看到SSL 使用的ciper变成了 ECDHE-RSA-AES256-GCM-SHA384

[root@box1 pki]# mysql -uuser_3 -phello -h127.0.0.1 --ssl-mode=required --ssl-cert=client-cert.pem --ssl-key=client-key.pem
...
mysql> \s

Current user:		user_3@localhost
SSL:			Cipher in use is ECDHE-RSA-AES256-GCM-SHA384

4.4验证客户端证书的subject 和 issuer

### client
[root@box1 pki]# mysql -uuser_5 -phello -h127.0.0.1 --ssl-mode=required --ssl-cert=client-cert.pem --ssl-key=client-key.pem
ERROR 1045 (28000): Access denied for user 'user_5'@'localhost' (using password: YES)

### server
[root@box1 mysql]# tail -2 /var/log/mysqld.log
2021-04-01T01:17:21.692560Z 6 [Note] X509 issuer mismatch: should be 'www.dtstack.com' but is '/C=CN/ST=HZ/L=ZJ/O=lazybug CO/OU=freecity/CN=www.dtstack.com/emailAddress=junda@dtstack.com'
2021-04-01T01:17:21.692607Z 6 [Note] Access denied for user 'user_5'@'localhost' (using password: YES)

### client
[root@box1 pki]# mysql -uuser_6 -phello -h127.0.0.1 --ssl-mode=required --ssl-cert=client-cert.pem --ssl-key=client-key.pem
ERROR 1045 (28000): Access denied for user 'user_6'@'localhost' (using password: YES)

### server
[root@box1 mysql]# tail -2 /var/log/mysqld.log
2021-04-01T01:20:41.297093Z 8 [Note] X509 subject mismatch: should be '/CN=client.dtstack.com' but is '/C=XX/L=Default City/O=Default Company Ltd'
2021-04-01T01:20:41.297144Z 8 [Note] Access denied for user 'user_6'@'localhost' (using password: YES)

重新生成client证书，指定subject

[root@box1 pki]# openssl req -subj /CN=client.dtstack.com -newkey rsa:2048 -days 3600 \
        -nodes -keyout client-key.pem -out client-req.pem
        
writing new private key to 'client-key.pem'

[root@box1 pki]# openssl rsa -in client-key.pem -out client-key.pem
writing RSA key

[root@box1 pki]# openssl x509 -sha384 -req -in client-req.pem -days 3600 \
>         -CA ca.pem -CAkey ca-key.pem -set_serial 01 -out client-cert.pem
Signature ok
subject=/CN=client.dtstack.com
Getting CA Private Key

使用新的证书，就可以登录的数据库了：

[root@box1 pki]# mysql -uuser_6 -phello -h127.0.0.1 --ssl-mode=required --ssl-cert=client-cert.pem --ssl-key=client-key.pem
...
mysql> \s
Current user:		user_6@localhost
SSL:			Cipher in use is ECDHE-RSA-AES256-GCM-SHA384

附录：SSL证书相关命令

生成证书的命令

# Create clean environment
rm -rf newcerts
mkdir newcerts && cd newcerts

# Create CA certificate
openssl genrsa 2048 > ca-key.pem
openssl req -new -x509 -nodes -days 3600 \
        -key ca-key.pem -out ca.pem

# Create server certificate, remove passphrase, and sign it
# server-cert.pem = public key, server-key.pem = private key
openssl req -newkey rsa:2048 -days 3600 \
        -nodes -keyout server-key.pem -out server-req.pem
openssl rsa -in server-key.pem -out server-key.pem
openssl x509  -sha384 -req -in server-req.pem -days 3600 \
        -CA ca.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem

# Create client certificate, remove passphrase, and sign it
# client-cert.pem = public key, client-key.pem = private key
openssl req -subj /client.dtstack.com -newkey rsa:2048 -days 3600 \
        -nodes -keyout client-key.pem -out client-req.pem
openssl rsa -in client-key.pem -out client-key.pem
openssl x509 -sha384 -req -in client-req.pem -days 3600 \
        -CA ca.pem -CAkey ca-key.pem -set_serial 01 -out client-cert.pem
        
openssl x509 -req -in client-req.pem -days 3600 \
        -CA ca.pem -CAkey ca-key.pem -set_serial 01 -out client-cert.pem

查看证书信息

[root@box1 mysql]# openssl x509 -text -in server-cert.pem -noout
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number: 2 (0x2)
    Signature Algorithm: sha256WithRSAEncryption
        Issuer: CN=MySQL_Server_5.7.32_Auto_Generated_CA_Certificate
        Validity
            Not Before: Mar 31 12:14:46 2021 GMT
            Not After : Mar 29 12:14:46 2031 GMT
        Subject: CN=MySQL_Server_5.7.32_Auto_Generated_Server_Certificate
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (2048 bit)
                Modulus:

[root@box1 pki]# openssl x509 -text -in client-cert.pem -noout
Certificate:
    Data:
        Version: 1 (0x0)
        Serial Number: 1 (0x1)
    Signature Algorithm: sha384WithRSAEncryption
        Issuer: C=CN, ST=HZ, L=ZJ, O=lazybug CO, OU=freecity, CN=www.dtstack.com/emailAddress=junda@dtstack.com
        Validity
            Not Before: Apr  1 01:34:53 2021 GMT
            Not After : Feb  8 01:34:53 2031 GMT
        Subject: CN=client.dtstack.com
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (2048 b

验证证书

使用openssl verify命令验证证书有效性。CAfile是用于创建证书的ca文件。

[root@box1 pki]# openssl verify -CAfile ca.pem server-cert.pem client-cert.pem
server-cert.pem: OK
client-cert.pem: OK

如果ca文件和证书文件不匹配，验证会报错

[root@box1 pki]# openssl verify -CAfile /var/lib/backupca/ca.pem server-cert.pem client-cert.pem
server-cert.pem: C = CN, ST = ZJ, L = HZ, O = bugfree server, OU = land, CN = www.dtstack.com, emailAddress = server@dtstack.com
error 20 at 0 depth lookup:unable to get local issuer certificate
client-cert.pem: CN = client.dtstack.com
error 20 at 0 depth lookup:unable to get local issuer certificate

更多技术信息请查看云掣官网云掣YunChe - 可观测运维专家 | 大数据运维托管 | 云MSP服务

相关推荐

前端入门——css 网格轨道详细介绍

上篇前端入门——cssGrid网格基础知识整体大概介绍了cssgrid的基本概念及使用方法，本文将介绍创建网格容器时会发生什么？以及在网格容器上使用行、列属性如何定位元素。在本文中，将介绍：...

Islands Architecture(孤岛架构)在携程新版首页的实践

一、项目背景2022，携程PC版首页终于迎来了首次改版，完成了用户体验与技术栈的全面升级。作为与用户连接的重要入口，旧版PC首页已经陪伴携程走过了22年，承担着重要使命的同时，也遇到了很多问题：维护/...

HTML中script标签中的那些属性

HTML中的<script>标签详解在HTML中，<script>标签用于包含或引用JavaScript代码，是前端开发中不可或缺的一部分。通过合理使用<scrip...

CSS 中各种居中你真的玩明白了么

页面布局中最常见的需求就是元素或者文字居中了，但是根据场景的不同，居中也有简单到复杂各种不同的实现方式，本篇就带大家一起了解下，各种场景下，该如何使用CSS实现居中前言页面布局中最常见的需求就是元...

CSS样式更改——列表、表格和轮廓

上篇文章主要介绍了CSS样式更改篇中的字体设置Font&边框Border设置，这篇文章分享列表、表格和轮廓，一起来看看吧。1.列表List1).列表的类型<ulstyle='list-...

一文吃透 CSS Flex 布局

原文链接：一文吃透CSSFlex布局教学游戏这里有两个小游戏，可用来练习flex布局。塔防游戏送小青蛙回家Flexbox概述Flexbox布局也叫Flex布局，弹性盒子布局。它决定了...

css实现多行文本的展开收起

背景在我们写需求时可能会遇到类似于这样的多行文本展开与收起的场景：那么，如何通过纯css实现这样的效果呢？实现的难点（1）位于多行文本右下角的展开收起按钮。（2）展开和收起两种状态的切换。（3）文本...

css 垂直居中的几种实现方式

前言设计是带有主观色彩的，同样网页设计中的css一样让人摸不头脑。网上列举的实现方式一大把，或许在这里你都看到过，但既然来到这里我希望这篇能让你看有所收获，毕竟这也是前端面试的基础。实现方式备注：...

WordPress固定链接设置

WordPress设置里的最后一项就是固定链接设置，固定链接设置是决定WordPress文章及静态页面URL的重要步骤，从站点的SEO角度来讲也是。固定链接设置决定网站URL，当页面数少的时候，可以一...

面试发愁!吃透 20 道 CSS 核心题，大厂 Offer 轻松拿

前端小伙伴们，是不是一想到面试里的CSS布局题就发愁？写代码时布局总是对不齐，面试官追问兼容性就卡壳，想跳槽却总被“多列等高”“响应式布局”这些问题难住——别担心！从今天起，咱们每天拆解一...

3种CSS清除浮动的方法

今天这篇文章给大家介绍3种CSS清除浮动的方法。有一定的参考价值，有需要的朋友可以参考一下，希望对大家有所帮助。首先，这里就不讲为什么我们要清楚浮动，反正不清除浮动事多多。下面我就讲3种常用清除浮动的...

2025 年 CSS 终于要支持强大的自定义函数了?

大家好，很高兴又见面了，我是"高级前端进阶"，由我带着大家一起关注前端前沿、深入前端底层技术，大家一起进步，也欢迎大家关注、点赞、收藏、转发！1.什么是CSS自定义属性CSS自...

css3属性(transform)的一个css3动画小应用

闲言碎语不多讲，咱们说说css3的transform属性：先上效果：效果说明：当鼠标移到a标签的时候，从右上角滑出二维码。实现方法：HTML代码如下：需要说明的一点是，a链接的跳转需要用javasc...

CSS基础知识(七)CSS背景

一、CSS背景属性1.背景颜色（background-color）属性值：transparent(透明的)或color(颜色)2.背景图片（background-image）属性值：none(没有)...

CSS 水平居中方式二

<divid="parent"><!--定义子级元素--><divid="child">居中布局</div>...

取消回复欢迎 你 发表评论:

一周热门
最近发表
标签列表