位置: 编程技术 - 正文

多种不同的 MySQL 的 SSL 配置

编辑:rootadmin

推荐整理分享多种不同的 MySQL 的 SSL 配置,希望有所帮助,仅作参考,欢迎阅读内容。

文章相关热门搜索词:,内容如对您有帮助,希望把文章链接给更多的朋友!

在这篇博客的帖子里,我将会描述不同的使用MySQL数据库的SSL配置方法。

SSL给了你什么&#;

你可以通过互联网使用 MySQL 复制特性(replication) 或者通过互联网连接到MySQL。还有可能是你通过企业网去连接,这样会有很多人访问。如果你使用一个自带设备(BYOD)网络,这就更是一个问题了。SSL在这里通过加密网络防止有针对性的监听。在与正确的服务器进行交互时,可以有效应对中间人攻击(man-in-the-middle attacks)。你还可以使用SSL客户端证书,让它同密码一起作为身份识别的二要素。SSL不是唯一的选择, 你可以使用SSH和许多MySQL GUI客户端,类似MySQL Workbench提供的那个产品。 但是SSH的python脚本,或者mysqldump,不是那么易用。

需要注意的事情:

使用SSL在绝大多数情况下要比不使用SSL要好,所以没有太多可能出现问题的地方。但是以下几点需要注意:对安全性的错误估计

你认为你在SSL的保护之下,但是你可能忘记设置一些选项从而导致程序可以接受非SSL的连接,所以要确保设置必须使用SSL作为连接方式。可以使用Wireshark或者其它类似的工具来检测你的流量是否都真的被加密处理。没有及时更新证书

你应该通过一些方法在证书即将过期的时候通知自己。可以是nagios检查,可以是日历里面的小贴士,可以来自于证书签发机构的email。如果证书过期,将会导致你的客户端无法正常获得响应。

性能

如果性能很重要,就应该做基准测试,来看看没有SSL的情况下有什么影响。在 OpenSSL 和 YaSSL 下尝试不同的密码,并看哪个的执行效果最佳。使用流量监测的工具

如果你在使用像 VividCortex,pt-query-digest 基于 pcap 的工具,那么你应该确保在部署完SSL后,这些工具还能用,可以提供密钥来实现。然后使用一个非 Diffie-Hellman (DH) 的密码,或者使用其他的源,如 performance_schema、slow query log,这还要看你的应用程序支持哪种,也可能会包含一些负载均衡的设置。

MySQL 中的 SSL 和浏览器中的 SSL 有什么不同

浏览器默认有一个 CA 的信任列表,但 MySQL 默认是没有的。这就是他们最大的不同。MySQL 和OpenVPN 使用SSL非常相似。MySQL server 和 Web server 都开启了 SSL,同时也都需要有客户端证书,这是他们相同的地方。有一些细微的协议支持差别,比如:MySQL 只支持 TLS v1.0,默认不支持主机名验证,所以你的证书可能是给db1.example.com的,也可能是给db2.example的,浏览器则可能会用OCSP、CRL's 或 CRLsets 来验证证书是否有效。 MySQL 5.6以后就只支持CRL验证。

配置 1: Server/Client 的内部 CA

最基本的安装和我创建 mysslgen 的位置。首先在服务器上创建一个PKCS#1格式的密钥,若PKCS#8不行。然后创建一个可以用CA部署的CSR(Certificate Signing Request证书签名请求) 。最后结果是一个CA证书服务器和一个服务器的密钥。笔者习惯用PEM格式的证书服务器配置:SSL证书服务器和密钥 (ssl-certandssl-key)SSL CA 证书 (ssl-ca)客户端配置:SSL CA 证书(ssl-ca)要求账户用SSL验证,那你的GRANT语句应该用REQUIRE SSL选项。

配置 2: Server/Client 的内部 CA 和 客户端证书

首先得在服务器上开启SSL,然后给客户端创建证书。然后在客户端指定客户端证书和密钥 ssl-cert和ssl-key.现在必须要用 REQUIRE X来要求一个有效的证书。如果这个CA不只用在MySQL server上,那就不起作用了,因为其他人也有可能拿到有效的证书, 可以用 REQUIRE SUBJECT '/CN=myclient.example.com'来限制证书的使用。在此设置证书是你的CA给颁发的,你颁发的证书你就能有很多可控的,结果就是你颁发的证书都是被信任的。

多种不同的 MySQL 的 SSL 配置

配置 3: Server/Client 与公共 CA

方案 3与方案 2相似。但公共的CA会指定多个的证书,同样也会吊销这些证书。你应该了解 --ssl-verify-server-cert ,以确保服务器有一个带主机名的证书。否则,有人可能会用一个不带主机名的有效证书来发起中间人攻击(Man-in-the-MiddleAttack,简称“MITM攻击”)。也应该使用 REQUIRE X 字段,要求每个用户 SUBJECT 、ISSUER(可选)字段。

配置 4: Server/Client 和多个公共 CA's

这个方案用起来显得轻而易举。可以使用证书包 (一个文件多个证书),并用 ssl ca 命令指定此文件。在Ubuntu系统上,这个证书由 /etc/ssl/certs/ca-certificates.crt 下的 ca-certificates 包提供其他选项,用“指定assl-capath”来代替“使用ssl-ca”,这样就可以设置到/etc/ssl/certs里。如果想用CA的默认目录,那就得运行OpenSSL 中的c_rehash 程序来生成正确的符号连接(只在OpenSSL下可用)。

配置 5: Replication(复制)

设置 CHANGE MASTER TO 命令中MASTER_SSL_* 就可实现。如果开启了主机名验证,就确保用了 MASTER_SSL_VERIFY_SERVER_CERT。只有这样才能真正确保 replication 用户的SSL连接是要求的SSL连接。如果SSL允许了,SHOW SLAVE STATUS就会显示输出,而不是不可用。每台服务器一个CA还是集中式CA&#;

可以每服务器用一个CA然后指定一个客户端证书,但是每个服务器的客户端都需要不同的证书来连接,也就是说你会发放很多CA证书。所以你可能就会想要使用一个CA,而不是每个服务器一个CA。

出错了怎么办?

如果其中一个私有密钥(客户端,服务器或CA)损坏,有以下几种办法处理:什么也不做,只要等到证书过期。这只适用于短暂的证书(如证书有效期是7天)。这样做容易让你受到攻击,你也可能会有其他缓解风险的方法。问题是,每7天就得重启MySQL,而且还需要一些自动分配证书的机制。重新创建所有证书和密钥(包括 CA)。这只适用于CA、服务器和用户数量较少的情况。用CRL(Certificate Revocation list证书吊销列表)。 这样做只在你的证书有正确序列号的情况下管用。此外,你要是有多个CA的话,就必须每个CA都捆绑CRL,并在c_rehash创建的符号连接的目录中指定 ssl-crl,指定ssl-crl路径(仅OpenSSL)。如果使用CRL,那MySQL 的版本要是5.6或更高,然后更新CRL,也更新所有客户端。注意: 如果密钥泄露了,就必须重新创建私有密钥,仅用以前的CSR(证书签名请求)是不够的。

客户端配置注意事项

ssl-ca 参数可在my.cnf的[client]部分设置,但这样设置mysql binlog就不管用了,所以在客户端用loose-ssl-ca 代替。ssl-key 和 ssl-cert 参数应该是在~/.my.cnf文件的[client]部分,这些文件都应该适当的保护起来。目前以my_config_editor创建的'login-path'无法添加到SSL设置。密码注意事项

用 SSL 加密,可以设置一定的密码,用 YaSSL 就很有限。当使用 OpenSSL 时,就可以使用一个密码套件,这套件是一组特定的密码集、一些过滤器和一个规则。

YaSSL, OpenSSL 的状态变量注意事项

如果很难判断你的MySQL用的是 OpenSSL 还是 YaSSL, 有些方法可以帮你,如使用命令 ldd /path/to/mysqld。默认情况下 MySQL Community Edition 用的是 YaSSL , MySQL Enterprise Edition 用的是 OpenSSL。根据SSL执行情况,某些状态变量可能更新的不正确。为确保不受任何SSL漏洞影响,你最好参照 Oracle 关键补丁更新 ,保持你的 MySQL 和 OpenSSL及时更新。

运行 CA的注意事项

其实并没有看起来那么容易,往往开始很简单,往后很无奈。要十分肯定的知道怎么发布CRL,X 扩展是什么,你都必须用什么。有个网站告诉你如何配置你自己的CA:如何做一个自有的证书颁发机构(CA) - jamielinux也有许多公共CA会给你私有的 CA 提供主机。

以上所述就是本文的全部内容了,希望大家能够喜欢。

请您花一点时间将文章分享给您的朋友或者留下评论。我们将会由衷感谢您的支持!

MySQL服务器连接过程浅析 mysqld是MySQL服务器端主进程,可以说mysqld是MySQL的真正核心,一切工作都是围绕mysqld进程进行的。所以要解剖mysql这个庞然大物,mysqld的代码是最好的突

MySQL存储引擎中的MyISAM和InnoDB区别详解 在使用MySQL的过程中对MyISAM和InnoDB这两个概念存在了些疑问,到底两者引擎有何分别一直是存在我心中的疑问。为了解开这个谜题,搜寻了网络,找到了

mysql的分区技术详细介绍 一、概述当MySQL的总记录数超过了万后,会出现性能的大幅度下降吗?答案是肯定的,但是,性能下降的比率不一而同,要看系统的架构、应用程序、

标签: 多种不同的 MySQL 的 SSL 配置

本文链接地址:https://www.jiuchutong.com/biancheng/347285.html 转载请保留说明!

上一篇:MySQL之终端Terminal(dos界面)管理数据库、数据表、数据的基本操作(终端运行mysql)

下一篇:MySQL服务器连接过程浅析(连接mysql服务命令)

  • 汇算清缴补交所得税会计分录小企业会计政策
  • 纳税期限届满
  • 公款私存个人账户怎么处理
  • 什么公司不可以上市
  • 差旅费跨年报销说明
  • 微信支付过路费怎么开电子发票
  • 增值税专票怎么抵扣
  • 土地增值税清算利息扣除规定
  • 一般纳税人存货采购成本包括
  • 办理出口退税需要的资料
  • 年终奖专项扣除
  • 以前年度企业所得税申报表怎么查
  • 汇算清缴需要调增的费用
  • 房地产企业税负率
  • 税收完税证明是契证吗
  • 旅游业企业所得税要求
  • 工会经费计税依据是应发还是实发
  • 商场的租金怎样交税
  • 实收资本账户的核算内容是什么
  • 股份公司和有限公司工作哪个好一些
  • w10怎么找蓝牙
  • 银行拒付汇票金额的救济方法
  • 在php中,字符串有哪些表示形式
  • 写入缓存策略无法更改
  • codelite教程
  • 免征个人所得税33种情形
  • nginx ss
  • 职工工资扣税比例
  • 浅谈php的排列组合
  • 以前年度损益调整
  • JavaScript | 1000个判断条件难道要写了1000个 if ? 一文教你如何实现分支优化
  • 苹果系统推送通知
  • 哪些农产品按照鲜品统计
  • 购进农产品直接销售核定农产品增值税进项税额计算表
  • 劳务报酬什么情况下可以退税
  • 融资租赁首付租金定义
  • 向境外支付赔偿款是否需要税务备案
  • 培训费其他费用的列支范围
  • mongodb查询操作
  • 营业税金及附加是什么科目
  • 企业所得税年度纳税申报表A类怎么填
  • 出纳需要填写会计凭证吗
  • 年终零余额账户额度和收入相等吗
  • 合同法有什么规定
  • 劳务公司成本核算方法一般选择哪个
  • 增值税进项税额抵扣期限最新
  • 非公益捐赠如何入账
  • 免税收入如何做分录科目
  • 工资代扣工会会费协议
  • 未开票收入是否代表可以不开发票
  • 个人社保缴纳会不会自动扣款
  • 公司网站维护费用计哪个科目
  • 银行账和实际金额对不上
  • 管理费用明细科目设置和核算需要注意哪些问题
  • 损益表格式 最新
  • mysql安装配置教程5.7.25
  • mysql m1
  • win8系统手机
  • win10设置怎么开
  • centos 文件管理
  • centos7搭建nfs详细步骤
  • macosmajove
  • win7系统如何关闭开机自动启动软件
  • win10原装版
  • 电脑系统垃圾
  • kprcycleaner.exe是什么
  • win8系统恢复
  • 腙基是什么
  • ubuntu libtorch
  • 由浅入深易,由深入浅难
  • unity3d官方
  • js标志
  • 火狐firefox浏览器官网
  • 安卓9api
  • python 脚本编写
  • 在linux安装python
  • 自来水征税
  • 2022年安徽城镇非私营单位平均工资
  • 怎么样开通深圳医保
  • 税务年报截止日期2022
  • 免责声明:网站部分图片文字素材来源于网络,如有侵权,请及时告知,我们会第一时间删除,谢谢! 邮箱:opceo@qq.com

    鄂ICP备2023003026号

    网站地图: 企业信息 工商信息 财税知识 网络常识 编程技术

    友情链接: 武汉网站建设