- ubuntu12.04环境下使用kvm ioctl接口实现最简单的虚拟机
- Ubuntu 通过无线网络安装Ubuntu Server启动系统后连接无线网络的方法
- 在Ubuntu上搭建网桥的方法
- ubuntu 虚拟机上网方式及相关配置详解
CFSDN坚持开源创造价值,我们致力于搭建一个资源共享平台,让每一个IT人在这里找到属于你的精彩世界.
这篇CFSDN的博客文章多种不同的 MySQL 的 SSL 配置由作者收集整理,如果你对这篇文章有兴趣,记得点赞哟.
在这篇博客的帖子里,我将会描述不同的使用MySQL数据库的SSL配置方法.
SSL给了你什么?
你可以通过互联网使用 MySQL 复制特性(replication) 或者通过互联网连接到MySQL。 还有可能是你通过企业网去连接,这样会有很多人访问。如果你使用一个自带设备(BYOD)网络,这就更是一个问题了。 SSL在这里通过加密网络防止有针对性的监听。在与正确的服务器进行交互时,可以有效应对中间人攻击(man-in-the-middle attacks)。 你还可以使用SSL客户端证书,让它同密码一起作为身份识别的二要素。 SSL不是唯一的选择, 你可以使用SSH和许多MySQL GUI客户端,类似MySQL Workbench提供的那个产品。 但是SSH的python脚本,或者mysqldump,不是那么易用.
需要注意的事情:
使用SSL在绝大多数情况下要比不使用SSL要好,所以没有太多可能出现问题的地方。 但是以下几点需要注意: 对安全性的错误估计 。
你认为你在SSL的保护之下,但是你可能忘记设置一些选项从而导致程序可以接受非SSL的连接,所以要确保设置必须使用SSL作为连接方式。可以使用Wireshark或者其它类似的工具来检测你的流量是否都真的被加密处理。 没有及时更新证书 。
你应该通过一些方法在证书即将过期的时候通知自己。可以是nagios检查,可以是日历里面的小贴士,可以来自于证书签发机构的email。如果证书过期,将会导致你的客户端无法正常获得响应.
性能 。
如果性能很重要,就应该做基准测试,来看看没有SSL的情况下有什么影响。在 OpenSSL 和 YaSSL 下尝试不同的密码,并看哪个的执行效果最佳。 使用流量监测的工具 。
如果你在使用像 VividCortex,pt-query-digest 基于 pcap 的工具,那么你应该确保在部署完SSL后,这些工具还能用,可以提供密钥来实现。然后使用一个非 Diffie-Hellman (DH) 的密码,或者使用其他的源,如 performance_schema、slow query log,这还要看你的应用程序支持哪种,也可能会包含一些负载均衡的设置.
MySQL 中的 SSL 和浏览器中的 SSL 有什么不同 。
浏览器默认有一个 CA 的信任列表,但 MySQL 默认是没有的。这就是他们最大的不同。MySQL 和OpenVPN 使用SSL非常相似。 MySQL server 和 Web server 都开启了 SSL,同时也都需要有客户端证书,这是他们相同的地方。 有一些细微的协议支持差别,比如:MySQL 只支持 TLS v1.0,默认不支持主机名验证,所以你的证书可能是给db1.example.com的,也可能是给db2.example的,浏览器则可能会用OCSP、CRL's 或 CRLsets 来验证证书是否有效。 MySQL 5.6以后就只支持CRL验证.
配置 1: Server/Client 的内部 CA 。
最基本的安装和我创建 mysslgen 的位置。 首先在服务器上创建一个PKCS#1格式的密钥,若PKCS#8不行。然后创建一个可以用CA部署的CSR(Certificate Signing Request证书签名请求) 。最后结果是一个CA证书服务器和一个服务器的密钥。笔者习惯用PEM格式的证书 服务器配置: SSL证书服务器和密钥 (ssl-certandssl-key) SSL CA 证书 (ssl-ca) 客户端配置: SSL CA 证书(ssl-ca) 要求账户用SSL验证,那你的GRANT语句应该用REQUIRE SSL选项.
配置 2: Server/Client 的内部 CA 和 客户端证书 。
首先得在服务器上开启SSL,然后给客户端创建证书。 然后在客户端指定客户端证书和密钥 ssl-cert和ssl-key. 现在必须要用 REQUIRE X509来要求一个有效的证书。如果这个CA不只用在MySQL server上,那就不起作用了,因为其他人也有可能拿到有效的证书, 可以用 REQUIRE SUBJECT '/CN=myclient.example.com'来限制证书的使用。 在此设置证书是你的CA给颁发的,你颁发的证书你就能有很多可控的,结果就是你颁发的证书都是被信任的.
配置 3: Server/Client 与公共 CA 。
方案 3与方案 2相似。但公共的CA会指定多个的证书,同样也会吊销这些证书。 你应该了解 --ssl-verify-server-cert ,以确保服务器有一个带主机名的证书。否则,有人可能会用一个不带主机名的有效证书来发起中间人攻击(Man-in-the-MiddleAttack,简称“MITM攻击”)。 也应该使用 REQUIRE X509 字段,要求每个用户 SUBJECT 、ISSUER(可选)字段.
配置 4: Server/Client 和多个公共 CA's 。
这个方案用起来显得轻而易举。 可以使用证书包 (一个文件多个证书),并用 ssl ca 命令指定此文件。 在Ubuntu系统上,这个证书由 /etc/ssl/certs/ca-certificates.crt 下的 ca-certificates 包提供 其他选项,用“指定assl-capath”来代替“使用ssl-ca”,这样就可以设置到/etc/ssl/certs里。如果想用CA的默认目录,那就得运行OpenSSL 中的c_rehash 程序来生成正确的符号连接(只在OpenSSL下可用).
配置 5: Replication(复制) 。
设置 CHANGE MASTER TO 命令中MASTER_SSL_* 就可实现。 如果开启了主机名验证,就确保用了 MASTER_SSL_VERIFY_SERVER_CERT。 只有这样才能真正确保 replication 用户的SSL连接是要求的SSL连接。如果SSL允许了,SHOW SLAVE STATUS就会显示输出,而不是不可用。 每台服务器一个CA还是集中式CA?
可以每服务器用一个CA然后指定一个客户端证书,但是每个服务器的客户端都需要不同的证书来连接,也就是说你会发放很多CA证书。 所以你可能就会想要使用一个CA,而不是每个服务器一个CA.
出错了怎么办?
如果其中一个私有密钥(客户端,服务器或CA)损坏,有以下几种办法处理: 什么也不做,只要等到证书过期。这只适用于短暂的证书(如证书有效期是7天)。这样做容易让你受到攻击,你也可能会有其他缓解风险的方法。问题是,每7天就得重启MySQL,而且还需要一些自动分配证书的机制。 重新创建所有证书和密钥(包括 CA)。这只适用于CA、服务器和用户数量较少的情况。 用CRL(Certificate Revocation list证书吊销列表)。 这样做只在你的证书有正确序列号的情况下管用。此外,你要是有多个CA的话,就必须每个CA都捆绑CRL,并在c_rehash创建的符号连接的目录中指定 ssl-crl,指定ssl-crl路径(仅OpenSSL)。如果使用CRL,那MySQL 的版本要是5.6或更高,然后更新CRL,也更新所有客户端。 注意: 如果密钥泄露了,就必须重新创建私有密钥,仅用以前的CSR(证书签名请求)是不够的.
客户端配置注意事项 。
ssl-ca 参数可在my.cnf的[client]部分设置,但这样设置mysql binlog就不管用了,所以在客户端用loose-ssl-ca 代替。ssl-key 和 ssl-cert 参数应该是在~/.my.cnf文件的[client]部分,这些文件都应该适当的保护起来。 目前以my_config_editor创建的'login-path'无法添加到SSL设置。 密码注意事项 。
用 SSL 加密,可以设置一定的密码,用 YaSSL 就很有限。当使用 OpenSSL 时,就可以使用一个密码套件,这套件是一组特定的密码集、一些过滤器和一个规则.
YaSSL, OpenSSL 的状态变量注意事项 。
如果很难判断你的MySQL用的是 OpenSSL 还是 YaSSL, 有些方法可以帮你,如使用命令 ldd /path/to/mysqld。默认情况下 MySQL Community Edition 用的是 YaSSL , MySQL Enterprise Edition 用的是 OpenSSL。 根据SSL执行情况,某些状态变量可能更新的不正确。 为确保不受任何SSL漏洞影响,你最好参照 Oracle 关键补丁更新 ,保持你的 MySQL 和 OpenSSL及时更新.
运行 CA的注意事项 。
其实并没有看起来那么容易,往往开始很简单,往后很无奈。要十分肯定的知道怎么发布CRL,X509 扩展是什么,你都必须用什么。 有个网站告诉你如何配置你自己的CA:如何做一个自有的证书颁发机构(CA) - jamielinux 也有许多公共CA会给你私有的 CA 提供主机.
以上所述就是本文的全部内容了,希望大家能够喜欢.
请您花一点时间将文章分享给您的朋友或者留下评论。我们将会由衷感谢您的支持! 。
最后此篇关于多种不同的 MySQL 的 SSL 配置的文章就讲到这里了,如果你想了解更多关于多种不同的 MySQL 的 SSL 配置的内容请搜索CFSDN的文章或继续浏览相关文章,希望大家以后支持我的博客! 。
我有 table 像这样 -------------------------------------------- id size title priority
我的应用在不同的 Activity (4 个 Activity )中仅包含横幅广告。所以我的疑问是, 我可以对所有横幅广告使用一个广告单元 ID 吗? 或者 每个 Activity 使用不同的广告单元
我有任意(但统一)数字列表的任意列表。 (它们是 n 空间中 bin 的边界坐标,我想绘制其角,但这并不重要。)我想生成所有可能组合的列表。所以:[[1,2], [3,4],[5,6]] 产生 [[1
我刚刚在学校开始学习 Java,正在尝试自定义控件和图形。我目前正在研究图案锁,一开始一切都很好,但突然间它绘制不正确。我确实更改了一些代码,但是当我看到错误时,我立即将其更改回来(撤消,ftw),但
在获取 Distinct 的 Count 时,我在使用 Group By With Rollup 时遇到了一个小问题。 问题是 Rollup 摘要只是所有分组中 Distinct 值的总数,而不是所有
这不起作用: select count(distinct colA, colB) from mytable 我知道我可以通过双选来简单地解决这个问题。 select count(*) from (
这个问题在这里已经有了答案: JavaScript regex whitespace characters (5 个回答) 2年前关闭。 你能解释一下为什么我会得到 false比较 text ===
这个问题已经有答案了: 奥 git _a (56 个回答) 已关闭 9 年前。 我被要求用 Javascript 编写一个函数 sortByFoo 来正确响应此测试: // Does not cras
所以,我不得不说,SQL 是迄今为止我作为开发人员最薄弱的一面。也许我想要完成的事情很简单。我有这样的东西(这不是真正的模型,但为了使其易于理解而不浪费太多时间解释它,我想出了一个完全模仿我必须使用的
这个问题在这里已经有了答案: How does the "this" keyword work? (22 个回答) 3年前关闭。 简而言之:为什么在使用 Objects 时,直接调用的函数和通过引用传
这个问题在这里已经有了答案: 关闭 12 年前。 Possible Duplicate: what is the difference between (.) dot operator and (-
我真的不明白这里发生了什么但是: 当我这样做时: colorIndex += len - stopPos; for(int m = 0; m < len - stopPos; m++) { c
思考 MySQL 中的 Group By 函数的最佳方式是什么? 我正在编写一个 MySQL 查询,通过 ODBC 连接在 Excel 的数据透视表中提取数据,以便用户可以轻松访问数据。 例如,我有:
我想要的SQL是这样的: SELECT week_no, type, SELECT count(distinct user_id) FROM group WHERE pts > 0 FROM bas
商店表: +--+-------+--------+ |id|name |date | +--+-------+--------+ |1 |x |Ma
对于 chrome 和 ff,当涉及到可怕的 ie 时,这个脚本工作完美。有问题 function getY(oElement) { var curtop = 0; if (oElem
我现在无法提供代码,因为我目前正在脑海中研究这个想法并在互联网上四处乱逛。 我了解了进程间通信和使用共享内存在进程之间共享数据(特别是结构)。 但是,在对保存在不同 .c 文件中的程序使用 fork(
我想在用户集合中使用不同的功能。在 mongo shell 中,我可以像下面这样使用: db.users.distinct("name"); 其中名称是用于区分的集合字段。 同样我想要,在 C
List nastava_izvjestaj = new List(); var data_context = new DataEvidencijaDataContext();
我的 Rails 应用程序中有 Ransack 搜索和 Foundation,本地 css 渲染正常,而生产中的同一个应用程序有一个怪癖: 应用程序中的其他内容完全相同。 我在 Chrome 和 Sa
我是一名优秀的程序员,十分优秀!