`MySQL`的`SSL/TLS`：`客户端`与`服务器`的`加密`通信`配置`。` - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

MySQL SSL/TLS 加密通信配置：客户端与服务器的保障

大家好！今天我们来深入探讨 MySQL 中 SSL/TLS 加密通信的配置，这对于确保客户端与服务器之间数据传输的安全性至关重要。我们将从理论到实践，详细讲解如何在服务器端和客户端配置 SSL/TLS，从而建立一个安全的 MySQL 连接。

一、SSL/TLS 基础回顾

在深入配置之前，我们先简单回顾一下 SSL/TLS 的基本概念。SSL（Secure Sockets Layer）及其继任者 TLS（Transport Layer Security）是用于在客户端和服务器之间建立加密连接的协议。它们通过使用数字证书来验证服务器的身份，并使用加密算法对传输的数据进行加密，防止中间人攻击和数据窃听。

主要涉及的概念：

对称加密: 使用相同的密钥进行加密和解密，速度快，但密钥分发是难题。
非对称加密: 使用公钥加密，私钥解密。公钥可以公开，私钥必须保密。解决了密钥分发问题，但速度较慢。
数字证书: 由证书颁发机构（CA）签发的包含公钥、所有者信息等的文件，用于验证服务器的身份。
密钥交换: 在客户端和服务器之间安全地协商出一个共享密钥，用于后续的对称加密通信。TLS 使用多种密钥交换算法，如 RSA、Diffie-Hellman 等。

为什么需要 SSL/TLS？

默认情况下，MySQL 客户端和服务器之间的通信是未加密的，这意味着任何能够拦截网络流量的人都可以读取到传输的数据，包括用户名、密码、SQL 查询等敏感信息。通过启用 SSL/TLS，我们可以确保数据的机密性和完整性，防止数据泄露和篡改。

二、服务器端 SSL/TLS 配置

首先，我们需要在 MySQL 服务器端生成 SSL/TLS 证书和密钥。可以使用 openssl 工具来完成这个任务。

1. 生成 CA 根证书 (可选，如果使用自签名证书)：

自签名证书适用于测试环境或内部应用，但生产环境建议使用由受信任的 CA 颁发的证书。

openssl genrsa -out ca-key.pem 2048
openssl req -new -x509 -nodes -days 3650 -key ca-key.pem -out ca-cert.pem

解释：

openssl genrsa -out ca-key.pem 2048: 生成一个 2048 位的 RSA 私钥，保存到 ca-key.pem 文件中。
openssl req -new -x509 -nodes -days 3650 -key ca-key.pem -out ca-cert.pem: 使用私钥 ca-key.pem 创建一个自签名证书 ca-cert.pem，有效期为 3650 天 (10年)。在创建过程中会提示你填写一些信息，例如国家、组织、通用名称等。 通用名称 最好填写服务器的域名或 IP 地址。 -nodes 选项表示不加密私钥。

2. 生成服务器证书和密钥：

openssl genrsa -out server-key.pem 2048
openssl req -new -key server-key.pem -out server-req.pem
openssl x509 -req -in server-req.pem -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem -days 3650

解释：

openssl genrsa -out server-key.pem 2048: 生成一个 2048 位的 RSA 私钥，保存到 server-key.pem 文件中。
openssl req -new -key server-key.pem -out server-req.pem: 使用私钥 server-key.pem 创建一个证书签名请求 (CSR)，保存到 server-req.pem 文件中。同样会提示你填写一些信息，通用名称 必须与服务器的域名或 IP 地址一致。
openssl x509 -req -in server-req.pem -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem -days 3650: 使用 CA 根证书 ca-cert.pem 和私钥 ca-key.pem 签署证书签名请求 server-req.pem，生成服务器证书 server-cert.pem，有效期为 3650 天。 -CAcreateserial 选项表示创建 CA 证书的序列号文件。

3. 生成客户端证书和密钥 (可选，用于客户端身份验证)：

如果需要客户端证书验证，则执行此步骤。

openssl genrsa -out client-key.pem 2048
openssl req -new -key client-key.pem -out client-req.pem
openssl x509 -req -in client-req.pem -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial -out client-cert.pem -days 3650

解释：

openssl genrsa -out client-key.pem 2048: 生成一个 2048 位的 RSA 私钥，保存到 client-key.pem 文件中。
openssl req -new -key client-key.pem -out client-req.pem: 使用私钥 client-key.pem 创建一个证书签名请求 (CSR)，保存到 client-req.pem 文件中。填写信息时，可以根据实际情况填写客户端相关信息。
openssl x509 -req -in client-req.pem -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial -out client-cert.pem -days 3650: 使用 CA 根证书 ca-cert.pem 和私钥 ca-key.pem 签署证书签名请求 client-req.pem，生成客户端证书 client-cert.pem，有效期为 3650 天。

4. 配置 MySQL 服务器：

将生成的证书和密钥文件放置在一个安全的位置，例如 /etc/mysql/ssl/ 目录。

修改 MySQL 配置文件 my.cnf (或 my.ini，取决于你的操作系统和 MySQL 版本)，添加以下配置：

[mysqld]
ssl_cert=/etc/mysql/ssl/server-cert.pem
ssl_key=/etc/mysql/ssl/server-key.pem
ssl_ca=/etc/mysql/ssl/ca-cert.pem  # 如果使用自签名证书，则需要配置此项
require_secure_transport=ON # 强制所有连接使用 SSL
#ssl_verify_server_cert=ON # 启用服务器证书验证 (可选，更安全)

#可选配置，只允许指定证书的用户连接
#ssl_cipher=DHE-RSA-AES256-SHA:AES128-SHA

解释：

ssl_cert: 服务器证书的路径。
ssl_key: 服务器私钥的路径。
ssl_ca: CA 根证书的路径。如果使用由受信任的 CA 颁发的证书，则不需要配置此项。
require_secure_transport=ON: 强制所有客户端连接都必须使用 SSL/TLS 加密。
ssl_verify_server_cert=ON: 启用服务器证书验证。客户端会验证服务器证书的有效性，防止中间人攻击。建议启用此项，但如果客户端不支持服务器证书验证，则需要禁用此项。
ssl_cipher: 指定允许使用的 SSL/TLS 加密算法。可以根据安全需求进行配置。如果未指定，MySQL 会使用默认的加密算法。

5. 重启 MySQL 服务器：

sudo systemctl restart mysql

或者使用其他适合你的操作系统的命令重启 MySQL 服务。

三、客户端 SSL/TLS 配置

客户端需要配置 SSL/TLS 才能安全地连接到 MySQL 服务器。

1. 命令行客户端 (mysql 客户端)：

在连接 MySQL 服务器时，使用以下选项：

mysql -h <host> -u <user> -p --ssl-mode=REQUIRED --ssl-ca=/path/to/ca-cert.pem --ssl-cert=/path/to/client-cert.pem --ssl-key=/path/to/client-key.pem

解释：

-h <host>: MySQL 服务器的地址。
-u <user>: MySQL 用户名。
-p: 提示输入密码。
--ssl-mode=REQUIRED: 强制使用 SSL/TLS 加密连接。其他可选值包括 DISABLED (禁用 SSL/TLS)，PREFERRED (如果服务器支持则使用 SSL/TLS)，VERIFY_CA (验证服务器证书的 CA)，VERIFY_IDENTITY (验证服务器证书的主机名)。
--ssl-ca=/path/to/ca-cert.pem: CA 根证书的路径。如果服务器使用的是自签名证书，则必须指定此选项。
--ssl-cert=/path/to/client-cert.pem: 客户端证书的路径 (可选，用于客户端身份验证)。
--ssl-key=/path/to/client-key.pem: 客户端私钥的路径 (可选，用于客户端身份验证)。

简化配置:

可以将 SSL 相关的配置写入 ~/.my.cnf 文件中，这样每次连接时就不需要手动指定这些选项了。

[mysql]
ssl-mode=REQUIRED
ssl-ca=/path/to/ca-cert.pem
ssl-cert=/path/to/client-cert.pem
ssl-key=/path/to/client-key.pem

2. JDBC 连接：

在使用 JDBC 连接 MySQL 服务器时，需要在连接 URL 中指定 SSL 相关的参数。

String url = "jdbc:mysql://<host>:<port>/<database>?useSSL=true&requireSSL=true&verifyServerCertificate=true&trustCertificateKeyStoreUrl=file:/path/to/truststore.jks&trustCertificateKeyStorePassword=<password>";

解释：

useSSL=true: 启用 SSL/TLS 加密。
requireSSL=true: 强制使用 SSL/TLS 加密。
verifyServerCertificate=true: 验证服务器证书。
trustCertificateKeyStoreUrl=file:/path/to/truststore.jks: 信任证书库的 URL。需要将 CA 根证书导入到 Java 的信任证书库中。
trustCertificateKeyStorePassword=<password>: 信任证书库的密码。

创建 Java 信任证书库 (truststore):

keytool -import -trustcacerts -file /path/to/ca-cert.pem -keystore truststore.jks -storepass <password>

解释：

keytool: Java 密钥和证书管理工具。
-import: 导入证书。
-trustcacerts: 信任导入的证书。
-file /path/to/ca-cert.pem: CA 根证书的路径。
-keystore truststore.jks: 信任证书库的文件名。
-storepass <password>: 信任证书库的密码。

3. 其他编程语言：

不同的编程语言和 MySQL 客户端库可能需要不同的配置方式来启用 SSL/TLS。通常需要指定 CA 根证书的路径，以及是否需要验证服务器证书。请参考相应的文档和示例代码。

四、常见问题和排错

连接失败： 检查服务器端的 SSL/TLS 配置是否正确，包括证书和密钥的路径、权限等。检查客户端的 SSL/TLS 配置是否与服务器端匹配。检查网络连接是否正常。
SSL handshake 失败： 检查客户端和服务器端支持的 SSL/TLS 协议和加密算法是否匹配。检查服务器证书是否有效，包括是否过期、是否被吊销等。
服务器证书验证失败： 确保客户端信任服务器证书的 CA。如果服务器使用的是自签名证书，则需要将 CA 根证书导入到客户端的信任证书库中。
性能问题： SSL/TLS 加密会增加 CPU 的开销，可能会影响性能。可以根据安全需求选择合适的加密算法。可以考虑使用硬件加速来提高 SSL/TLS 的性能。

五、安全加固建议

除了基本的 SSL/TLS 配置之外，还可以采取以下措施来进一步加固 MySQL 的安全性：

使用强密码： 为 MySQL 用户设置强密码，并定期更换密码。
限制用户权限： 只授予用户必要的权限。避免使用 root 用户进行日常操作。
启用审计日志： 记录所有数据库操作，以便进行安全审计。
定期更新 MySQL 版本： 及时修复安全漏洞。
使用防火墙： 限制对 MySQL 服务器的访问。
配置 SELinux 或 AppArmor： 增强系统的安全性。

六、配置示例：从零开始的完整流程

这里提供一个完整的配置示例，包括生成证书、配置服务器和客户端。

1. 环境准备:

一台安装了 MySQL 服务器的 Linux 机器 (例如，CentOS, Ubuntu).
安装了 openssl 工具.
安装了 mysql 客户端.

2. 服务器端配置:

假设 MySQL 的配置文件路径为 /etc/mysql/my.cnf，证书存放路径为 /etc/mysql/ssl/。

# 1. 创建证书存放目录
sudo mkdir -p /etc/mysql/ssl

# 2. 生成 CA 根证书
sudo openssl genrsa -out /etc/mysql/ssl/ca-key.pem 2048
sudo openssl req -new -x509 -nodes -days 3650 -key /etc/mysql/ssl/ca-key.pem -out /etc/mysql/ssl/ca-cert.pem

# 3. 生成服务器证书和密钥
sudo openssl genrsa -out /etc/mysql/ssl/server-key.pem 2048
sudo openssl req -new -key /etc/mysql/ssl/server-key.pem -out /etc/mysql/ssl/server-req.pem
sudo openssl x509 -req -in /etc/mysql/ssl/server-req.pem -CA /etc/mysql/ssl/ca-cert.pem -CAkey /etc/mysql/ssl/ca-key.pem -CAcreateserial -out /etc/mysql/ssl/server-cert.pem -days 3650

# 4. 修改 MySQL 配置文件
sudo vi /etc/mysql/my.cnf

# 在 [mysqld] 部分添加以下配置
# ssl_cert=/etc/mysql/ssl/server-cert.pem
# ssl_key=/etc/mysql/ssl/server-key.pem
# ssl_ca=/etc/mysql/ssl/ca-cert.pem
# require_secure_transport=ON

# 5. 重启 MySQL 服务
sudo systemctl restart mysql

3. 客户端配置:

假设客户端也位于同一台机器上，或者你可以通过网络访问服务器。

# 1. 生成客户端证书和密钥 (可选，如果需要客户端身份验证)
sudo openssl genrsa -out /etc/mysql/ssl/client-key.pem 2048
sudo openssl req -new -key /etc/mysql/ssl/client-key.pem -out /etc/mysql/ssl/client-req.pem
sudo openssl x509 -req -in /etc/mysql/ssl/client-req.pem -CA /etc/mysql/ssl/ca-cert.pem -CAkey /etc/mysql/ssl/ca-key.pem -CAcreateserial -out /etc/mysql/ssl/client-cert.pem -days 3650

# 2. 使用 mysql 客户端连接服务器
mysql -h <host> -u <user> -p --ssl-mode=REQUIRED --ssl-ca=/etc/mysql/ssl/ca-cert.pem --ssl-cert=/etc/mysql/ssl/client-cert.pem --ssl-key=/etc/mysql/ssl/client-key.pem

# 如果没有生成客户端证书和密钥，则可以省略 --ssl-cert 和 --ssl-key 选项
mysql -h <host> -u <user> -p --ssl-mode=REQUIRED --ssl-ca=/etc/mysql/ssl/ca-cert.pem

将 <host> 替换为你的 MySQL 服务器地址，<user> 替换为你的 MySQL 用户名。

验证连接:

连接成功后，可以使用以下 SQL 查询来验证是否使用了 SSL/TLS 加密：

SHOW STATUS LIKE 'Ssl_cipher';

如果 Ssl_cipher 的值不为 NULL，则表示使用了 SSL/TLS 加密连接。

七、不同 ssl-mode 的含义

在 MySQL 8.0 中，ssl-mode 参数控制客户端与服务器之间的 SSL/TLS 连接行为。以下是 ssl-mode 的不同选项及其含义：

ssl-mode	描述
DISABLED	不使用 SSL/TLS。客户端和服务器之间的连接未加密。这是最不安全的选择，除非在非常受信任的网络环境中。
PREFERRED	如果服务器支持，则使用 SSL/TLS。客户端尝试使用加密连接，但如果服务器不支持，则回退到未加密连接。这意味着连接可能被以未加密的方式建立，因此安全性较低。
REQUIRED	必须使用 SSL/TLS。客户端要求与服务器的连接必须是加密的。如果服务器不支持 SSL/TLS，则连接将失败。这是相对安全的选项，确保了客户端和服务器之间的通信始终是加密的。
VERIFY_CA	必须使用 SSL/TLS，并且验证服务器证书的 CA。客户端验证服务器提供的证书是否由受信任的 CA 签名。如果证书无效或 CA 不受信任，则连接将失败。这提供了更高的安全性，可以防止中间人攻击，确保客户端连接到预期的服务器。
VERIFY_IDENTITY	必须使用 SSL/TLS，验证服务器证书的 CA，并且验证服务器身份。客户端验证服务器提供的证书是否由受信任的 CA 签名，并且证书中的主机名或 IP 地址与客户端尝试连接的服务器匹配。这是最安全的选项，可以防止中间人攻击和 DNS 欺骗，确保客户端连接到预期的服务器并且通信是加密的。

选择合适的 ssl-mode:

测试环境: 可以使用 PREFERRED 或 DISABLED，但仍然建议使用 REQUIRED 进行测试，以便尽早发现问题。
生产环境: 必须使用 REQUIRED、VERIFY_CA 或 VERIFY_IDENTITY，具体取决于安全需求。如果需要最高级别的安全性，并且可以配置客户端以验证服务器身份，则 VERIFY_IDENTITY 是最佳选择。

八、确保数据传输的安全性

通过今天的讲解，相信大家对 MySQL 的 SSL/TLS 配置有了更深入的了解。记住，安全是一个持续的过程，需要不断地进行评估和改进。希望这些知识能帮助你构建更安全的 MySQL 环境，保护你的数据安全。

MySQL SSL/TLS 加密通信配置：客户端与服务器的保障

发表回复 取消回复

发表回复取消回复