多种不同的 MySQL 的 SSL 配置

在这篇博客的帖子里,我将会描述不同的使用MySQL数据库的SSL配置方法。

SSL给了你什么?

你可以通过互联网使用 MySQL 复制特性(replication) 或者通过互联网连接到MySQL。
还有可能是你通过企业网去连接,这样会有很多人访问。如果你使用一个自带设备(BYOD)网络,这就更是一个问题了。
SSL在这里通过加密网络防止有针对性的监听。在与正确的服务器进行交互时,可以有效应对中间人攻击(man-in-the-middle attacks)。
你还可以使用SSL客户端证书,让它同密码一起作为身份识别的二要素。
SSL不是唯一的选择, 你可以使用SSH和许多MySQL GUI客户端,类似MySQL Workbench提供的那个产品。 但是SSH的python脚本,或者mysqldump,不是那么易用。

需要注意的事情:

使用SSL在绝大多数情况下要比不使用SSL要好,所以没有太多可能出现问题的地方。
但是以下几点需要注意:
对安全性的错误估计

你认为你在SSL的保护之下,但是你可能忘记设置一些选项从而导致程序可以接受非SSL的连接,所以要确保设置必须使用SSL作为连接方式。可以使用Wireshark或者其它类似的工具来检测你的流量是否都真的被加密处理。
没有及时更新证书

你应该通过一些方法在证书即将过期的时候通知自己。可以是nagios检查,可以是日历里面的小贴士,可以来自于证书签发机构的email。如果证书过期,将会导致你的客户端无法正常获得响应。

性能

如果性能很重要,就应该做基准测试,来看看没有SSL的情况下有什么影响。在 OpenSSL 和 YaSSL 下尝试不同的密码,并看哪个的执行效果最佳。
使用流量监测的工具

如果你在使用像 VividCortex,pt-query-digest 基于 pcap 的工具,那么你应该确保在部署完SSL后,这些工具还能用,可以提供密钥来实现。然后使用一个非 Diffie-Hellman (DH) 的密码,或者使用其他的源,如 performance_schema、slow query log,这还要看你的应用程序支持哪种,也可能会包含一些负载均衡的设置。

MySQL 中的 SSL 和浏览器中的 SSL 有什么不同

浏览器默认有一个 CA 的信任列表,但 MySQL 默认是没有的。这就是他们最大的不同。MySQL 和OpenVPN 使用SSL非常相似。
MySQL server 和 Web server 都开启了 SSL,同时也都需要有客户端证书,这是他们相同的地方。
有一些细微的协议支持差别,比如:MySQL 只支持 TLS v1.0,默认不支持主机名验证,所以你的证书可能是给db1.example.com的,也可能是给db2.example的,浏览器则可能会用OCSP、CRL's 或 CRLsets 来验证证书是否有效。 MySQL 5.6以后就只支持CRL验证。

配置 1: Server/Client 的内部 CA

最基本的安装和我创建 mysslgen 的位置。
首先在服务器上创建一个PKCS#1格式的密钥,若PKCS#8不行。然后创建一个可以用CA部署的CSR(Certificate Signing Request证书签名请求) 。最后结果是一个CA证书服务器和一个服务器的密钥。笔者习惯用PEM格式的证书
服务器配置:
SSL证书服务器和密钥 (ssl-certandssl-key)
SSL CA 证书 (ssl-ca)
客户端配置:
SSL CA 证书(ssl-ca)
要求账户用SSL验证,那你的GRANT语句应该用REQUIRE SSL选项。

配置 2: Server/Client 的内部 CA 和 客户端证书

首先得在服务器上开启SSL,然后给客户端创建证书。
然后在客户端指定客户端证书和密钥 ssl-cert和ssl-key.
现在必须要用 REQUIRE X509来要求一个有效的证书。如果这个CA不只用在MySQL server上,那就不起作用了,因为其他人也有可能拿到有效的证书,
可以用 REQUIRE SUBJECT '/CN=myclient.example.com'来限制证书的使用。
在此设置证书是你的CA给颁发的,你颁发的证书你就能有很多可控的,结果就是你颁发的证书都是被信任的。

配置 3: Server/Client 与公共 CA

方案 3与方案 2相似。但公共的CA会指定多个的证书,同样也会吊销这些证书。
你应该了解 --ssl-verify-server-cert ,以确保服务器有一个带主机名的证书。否则,有人可能会用一个不带主机名的有效证书来发起中间人攻击(Man-in-the-MiddleAttack,简称“MITM攻击”)。
也应该使用 REQUIRE X509 字段,要求每个用户 SUBJECT 、ISSUER(可选)字段。

配置 4: Server/Client 和多个公共 CA's

这个方案用起来显得轻而易举。
可以使用证书包 (一个文件多个证书),并用 ssl ca 命令指定此文件。
在Ubuntu系统上,这个证书由 /etc/ssl/certs/ca-certificates.crt 下的 ca-certificates 包提供
其他选项,用“指定assl-capath”来代替“使用ssl-ca”,这样就可以设置到/etc/ssl/certs里。如果想用CA的默认目录,那就得运行OpenSSL 中的c_rehash 程序来生成正确的符号连接(只在OpenSSL下可用)。

配置 5: Replication(复制)

设置 CHANGE MASTER TO 命令中MASTER_SSL_* 就可实现。
如果开启了主机名验证,就确保用了 MASTER_SSL_VERIFY_SERVER_CERT。
只有这样才能真正确保 replication 用户的SSL连接是要求的SSL连接。如果SSL允许了,SHOW SLAVE STATUS就会显示输出,而不是不可用。
每台服务器一个CA还是集中式CA?

可以每服务器用一个CA然后指定一个客户端证书,但是每个服务器的客户端都需要不同的证书来连接,也就是说你会发放很多CA证书。
所以你可能就会想要使用一个CA,而不是每个服务器一个CA。

出错了怎么办?

如果其中一个私有密钥(客户端,服务器或CA)损坏,有以下几种办法处理:
什么也不做,只要等到证书过期。这只适用于短暂的证书(如证书有效期是7天)。这样做容易让你受到攻击,你也可能会有其他缓解风险的方法。问题是,每7天就得重启MySQL,而且还需要一些自动分配证书的机制。
重新创建所有证书和密钥(包括 CA)。这只适用于CA、服务器和用户数量较少的情况。
用CRL(Certificate Revocation list证书吊销列表)。 这样做只在你的证书有正确序列号的情况下管用。此外,你要是有多个CA的话,就必须每个CA都捆绑CRL,并在c_rehash创建的符号连接的目录中指定 ssl-crl,指定ssl-crl路径(仅OpenSSL)。如果使用CRL,那MySQL 的版本要是5.6或更高,然后更新CRL,也更新所有客户端。
注意: 如果密钥泄露了,就必须重新创建私有密钥,仅用以前的CSR(证书签名请求)是不够的。

客户端配置注意事项

ssl-ca 参数可在my.cnf的[client]部分设置,但这样设置mysql binlog就不管用了,所以在客户端用loose-ssl-ca 代替。ssl-key 和 ssl-cert 参数应该是在~/.my.cnf文件的[client]部分,这些文件都应该适当的保护起来。
目前以my_config_editor创建的'login-path'无法添加到SSL设置。
密码注意事项

用 SSL 加密,可以设置一定的密码,用 YaSSL 就很有限。当使用 OpenSSL 时,就可以使用一个密码套件,这套件是一组特定的密码集、一些过滤器和一个规则。

YaSSL, OpenSSL 的状态变量注意事项

如果很难判断你的MySQL用的是 OpenSSL 还是 YaSSL, 有些方法可以帮你,如使用命令 ldd /path/to/mysqld。默认情况下 MySQL Community Edition 用的是 YaSSL , MySQL Enterprise Edition 用的是 OpenSSL。
根据SSL执行情况,某些状态变量可能更新的不正确。
为确保不受任何SSL漏洞影响,你最好参照 Oracle 关键补丁更新 ,保持你的 MySQL 和 OpenSSL及时更新。

运行 CA的注意事项

其实并没有看起来那么容易,往往开始很简单,往后很无奈。要十分肯定的知道怎么发布CRL,X509 扩展是什么,你都必须用什么。
有个网站告诉你如何配置你自己的CA:如何做一个自有的证书颁发机构(CA) - jamielinux
也有许多公共CA会给你私有的 CA 提供主机。

以上所述就是本文的全部内容了,希望大家能够喜欢。

请您花一点时间将文章分享给您的朋友或者留下评论。我们将会由衷感谢您的支持!

时间: 2015-03-23

MySQL 使用 SSL 连接配置详解

查看是否支持 SSL 首先在 MySQL 上执行如下命令, 查询是否 MySQL 支持 SSL: mysql> SHOW VARIABLES LIKE 'have_ssl'; +---------------+-------+ | Variable_name | Value | +---------------+-------+ | have_ssl | YES | +---------------+-------+ 1 row in set (0.02 sec) 当 have_ssl 为 YE

MySQL基于SSL协议进行主从复制的详细操作教程

当mysql跨越互联网进行复制时别人可以窃取到mysql的复制信息,这些信息是明文的,因此存在不安全性,这里通过ssl对复制的信息进行加密.当在客户没有固定ip而要访问服务器时,mysql要允许任意地址的访问,服务端和客户端通过证书验证可以防止暴力破解. 开始之前让我们先来回顾一下SSL协议客户端OpenSSL的安装过程: 安装openssl mkdir /test/setup cd /test/setup tar zxvf openssl-0.9.8b.tar.gz cd openssl-0.

Apache、SSL、MySQL和PHP平滑无缝地安装

为了这个任务所需的工具是: Apache-一个网站服务器  Mod_SSL-一个安全套接字层(SSL)的模块  OpenSSL-开放源代码工具箱(mod_ssl所需)  RSARef-仅对美国用户  MySQL-一个数据库服务器  PHP-一种脚本语言  "条条大路通罗马"--因此这只是很多能达到我们要求的配置之一.我选择这样的配置,是因为它是最简单和最快的一种.选择Mod_SSL/OpenSSL的原因是因为我有它的先前经验,是最快配置和最容易安装的一种.为了彼此方便地与Apache集

mysql通过ssl的方式生成秘钥具体生成步骤

-- mysql ssl 生成秘钥 1 check ssl是否已经开启 mysql> show variables like '%ssl%'; +---------------+----------+ | Variable_name | Value | +---------------+----------+ | have_openssl | DISABLED | | have_ssl | DISABLED | | ssl_ca | | | ssl_capath | | | ssl_cert |

processlist命令 查看mysql 线程

1. 进入mysql/bin目录下输入mysqladmin processlist; 2. 启动mysql,输入show processlist(关闭某一线程 kill id;); 如果有 SUPER 权限,则可以看到全部的线程,否则,只能看到自己发起的线程(这是指,当前对应的MySQL帐户运行的线程). 得到数据形式如下(只截取了三条): mysql> show processlist; +-----+-------------+--------------------+-------+---

apache+mysql+php+ssl服务器之完全安装攻略

目的我们的目标是安装一个允许我们托管多个网站的web服务器,其中一些是针对电子商务的安全解决方案,而大部分网站是通过连接一个数据库服务器并且提取其数据的脚本驱动的.为了这个任务所需的工具是:Apache-一个网站服务器Mod_SSL-一个安全套接字层(SSL)的模块OpenSSL-开放源代码工具箱(mod_ssl所需)RSARef-仅对美国用户MySQL-一个数据库服务器PHP-一种脚本语言 "条条大路通罗马"--因此这只是很多能达到我们要求的配置之一.我选择这样的配置,是因为它是最简

mysql show processlist 显示mysql查询进程

1.进入mysql/bin目录下输入mysqladmin processlist; 2.启动mysql,输入show processlist; 如果有 SUPER 权限,则可以看到全部的线程,否则,只能看到自己发起的线程(这是指,当前对应的MySQL帐户运行的线程). 得到数据形式如下(只截取了三条): mysql> show processlist; +-----+-------------+--------------------+-------+---------+-------+----

linux系统中使用openssl实现mysql主从复制

        证书准备: CA证书: 第一步:创建CA私钥 [root@localhost CA]# (umask 066;openssl genrsa -out /etc/pki/CA/private/cakey.pem 2048) 第二步:生成自签证书 [root@localhost CA]# openssl req -new -x509 -key /etc/pki/CA/private/cakey.pem  -days 7300 -out /etc/pki/CA/cacert.pem -

通过mysql show processlist 命令检查mysql锁的方法

processlist命令的输出结果显示了有哪些线程在运行,可以帮助识别出有问题的查询语句,两种方式使用这个命令. 1.      进入mysql/bin目录下输入mysqladmin processlist; 2.      启动mysql,输入show processlist; 如果有SUPER权限,则可以看到全部的线程,否则,只能看到自己发起的线程(这是指,当前对应的MySQL帐户运行的线程). 得到数据形式如下(只截取了三条): mysql> show processlist; +---

Linux/Mac MySQL忘记密码命令行修改密码的方法

所有的前提都需要获取到root权限 1.结束mysql进程 //Linux sudo services mysql stop //Mac brew services stop mysql 2.mysql后台运行 mysqld_safe --skip-grant-tables & mysql &,表示在后台运行,不打开新的终端 3.修改密码 use mysql; update user set password = password("新密码") where user='

mysql数据库备份命令分享(mysql压缩数据库备份)

备份MySQL数据库的命令 复制代码 代码如下: mysqldump -hhostname -uusername -ppassword databasename > backupfile.sql 备份MySQL数据库为带删除表的格式 备份MySQL数据库为带删除表的格式,能够让该备份覆盖已有数据库而不需要手动删除原有数据库. 复制代码 代码如下: mysqldump -–add-drop-table -uusername -ppassword databasename > backupfile

MySQL 使用DQL命令查询数据的实现方法

本篇文章博主将带大家一起学习MySQL中常用的数据查询语言. DQL(Data Query Language 数据查询语言) SELECT 语法 SELECT [ALL | DISTINCT] { * | table.* | [table.field1 [as alias1][,table.field2] [as alias2][,...]]} FROM table_name [as table_alias] [left | out | inner join table_name2] #联合查询

MySql常用查询命令操作大全

MYSQL常用查命令: mysql> select version(); 查看MySQL的版本号 mysql> select current_date(); 查看MySQL的当前日期 mysql> select version(),current_date(); 同时查看MySQL的版本号和当前日期 mysql> show databases; 显示当前存在的数据库 mysql> USE mysql 选择使用数据库(USE和QUIT命令不需要分号结束) Database ch

MySQL通过show processlist命令检视性能的讲解

show processlist 命令非常实用,有时候mysql经常跑到50%以上或更多,就需要用这个命令看哪个sql语句占用资源比较多,就知道哪个网站的程序问题了. show processlist 命令的输出结果显示了有哪些线程在运行,可以帮助识别出有问题的查询语句:如果有SUPER权限,则可以看到全部的线程,否则,只能看到自己发起的线程(这是指当前对应的MySQL帐户运行的线程). 先简单说一下各列的含义和用途 第一列,id,不用说了吧,一个标识,你要kill一个语句的时候很有用 user

MySQL SHOW PROCESSLIST协助故障诊断全过程

一.SHOW PROCESSLIST命令 SHOW PROCESSLIST显示正在运行(用户运行线程)的线程(或SHOW FULL PROCESSLIST显示更多信息).您还可以从INFORMATION_SCHEMA PROCESSLIST表或mysqladmin processlist命令获取此信息.如果你有这个PROCESS特权,你可以看到所有的线程.否则,您只能看到自己的线程(即与您正在使用的MySQL帐户相关联的线程).如果不使用该FULL关键字,则每个语句的前100个字符都将显示在该I

mysql查询表是否被锁的方法

具体方法: (推荐教程:mysql数据库学习教程) 查看表被锁状态 # 查询哪些表锁了 show OPEN TABLES where In_use > 0; 查看造成死锁的sql语句 # 查询innodb引擎的运行时信息 show engine innodb status; 查询进程 # 查询所有进程 show processlist; 解锁(删除进程) # 删除进程 kill id; 查看正在锁的事物 # 查看正在锁的事物 SELECT * FROM INFORMATION_SCHEMA.IN