多种不同的 MySQL 的 SSL 配置

在这篇博客的帖子里，我将会描述不同的使用mysql数据库的ssl配置方法。

ssl给了你什么?

你可以通过互联网使用 mysql 复制特性（replication） 或者通过互联网连接到mysql。

还有可能是你通过企业网去连接，这样会有很多人访问。如果你使用一个自带设备（byod）网络，这就更是一个问题了。

ssl在这里通过加密网络防止有针对性的监听。在与正确的服务器进行交互时，可以有效应对中间人攻击（man-in-the-middle attacks）。

你还可以使用ssl客户端证书，让它同密码一起作为身份识别的二要素。

ssl不是唯一的选择， 你可以使用ssh和许多mysql gui客户端，类似mysql workbench提供的那个产品。 但是ssh的python脚本，或者mysqldump，不是那么易用。

需要注意的事情：

使用ssl在绝大多数情况下要比不使用ssl要好，所以没有太多可能出现问题的地方。

但是以下几点需要注意：

对安全性的错误估计

你认为你在ssl的保护之下，但是你可能忘记设置一些选项从而导致程序可以接受非ssl的连接，所以要确保设置必须使用ssl作为连接方式。可以使用wireshark或者其它类似的工具来检测你的流量是否都真的被加密处理。

没有及时更新证书

你应该通过一些方法在证书即将过期的时候通知自己。可以是nagios检查，可以是日历里面的小贴士，可以来自于证书签发机构的email。如果证书过期，将会导致你的客户端无法正常获得响应。

性能

如果性能很重要，就应该做基准测试，来看看没有ssl的情况下有什么影响。在 openssl 和 yassl 下尝试不同的密码，并看哪个的执行效果最佳。

使用流量监测的工具

如果你在使用像 vividcortex，pt-query-digest 基于 pcap 的工具，那么你应该确保在部署完ssl后，这些工具还能用，可以提供密钥来实现。然后使用一个非 diffie-hellman (dh)的密码，或者使用其他的源，如 performance_schema、slow query log，这还要看你的应用程序支持哪种，也可能会包含一些负载均衡的设置。

mysql 中的 ssl 和浏览器中的 ssl 有什么不同

浏览器默认有一个 ca 的信任列表，但 mysql 默认是没有的。这就是他们最大的不同。mysql 和openvpn 使用ssl非常相似。

mysql server 和 web server 都开启了 ssl，同时也都需要有客户端证书，这是他们相同的地方。

有一些细微的协议支持差别，比如：mysql 只支持 tls v1.0，默认不支持主机名验证，所以你的证书可能是给db1.example.com的，也可能是给db2.example的，浏览器则可能会用ocsp、crl's 或 crlsets 来验证证书是否有效。 mysql 5.6以后就只支持crl验证。

配置 1: server/client 的内部 ca

最基本的安装和我创建mysslgen的位置。

首先在服务器上创建一个pkcs#1格式的密钥，若pkcs#8不行。然后创建一个可以用ca部署的csr(certificate signing request证书签名请求) 。最后结果是一个ca证书服务器和一个服务器的密钥。笔者习惯用pem格式的证书

服务器配置：

ssl证书服务器和密钥(ssl-certandssl-key)

ssl ca 证书 (ssl-ca)

客户端配置:

ssl ca 证书(ssl-ca)

要求账户用ssl验证，那你的grant语句应该用require ssl选项。

配置 2: server/client 的内部 ca 和 客户端证书

首先得在服务器上开启ssl，然后给客户端创建证书。

然后在客户端指定客户端证书和密钥 ssl-cert和ssl-key.

现在必须要用 require x509来要求一个有效的证书。如果这个ca不只用在mysql server上，那就不起作用了，因为其他人也有可能拿到有效的证书，

可以用 require subject '/cn=myclient.example.com'来限制证书的使用。

在此设置证书是你的ca给颁发的，你颁发的证书你就能有很多可控的，结果就是你颁发的证书都是被信任的。

配置 3: server/client 与公共 ca

方案 3与方案 2相似。但公共的ca会指定多个的证书，同样也会吊销这些证书。

你应该了解 --ssl-verify-server-cert ，以确保服务器有一个带主机名的证书。否则，有人可能会用一个不带主机名的有效证书来发起中间人攻击（man-in-the-middleattack，简称“mitm攻击”）。

也应该使用 require x509 字段，要求每个用户 subject 、issuer（可选）字段。

配置 4: server/client 和多个公共 ca's

这个方案用起来显得轻而易举。

可以使用证书包 （一个文件多个证书），并用 ssl ca 命令指定此文件。

在ubuntu系统上，这个证书由/etc/ssl/certs/ca-certificates.crt 下的 ca-certificates 包提供

其他选项，用“指定assl-capath”来代替“使用ssl-ca”，这样就可以设置到/etc/ssl/certs里。如果想用ca的默认目录，那就得运行openssl 中的c_rehash 程序来生成正确的符号连接（只在openssl下可用）。

配置 5: replication（复制）

设置 change master to 命令中master_ssl_* 就可实现。

如果开启了主机名验证，就确保用了 master_ssl_verify_server_cert。

只有这样才能真正确保 replication 用户的ssl连接是要求的ssl连接。如果ssl允许了，show slave status就会显示输出,而不是不可用。

每台服务器一个ca还是集中式ca?

可以每服务器用一个ca然后指定一个客户端证书，但是每个服务器的客户端都需要不同的证书来连接，也就是说你会发放很多ca证书。

所以你可能就会想要使用一个ca，而不是每个服务器一个ca。

出错了怎么办？

如果其中一个私有密钥（客户端，服务器或ca）损坏，有以下几种办法处理：

什么也不做，只要等到证书过期。这只适用于短暂的证书（如证书有效期是7天）。这样做容易让你受到攻击，你也可能会有其他缓解风险的方法。问题是，每7天就得重启mysql，而且还需要一些自动分配证书的机制。

重新创建所有证书和密钥(包括 ca)。这只适用于ca、服务器和用户数量较少的情况。

用crl（certificate revocation list证书吊销列表）。 这样做只在你的证书有正确序列号的情况下管用。此外，你要是有多个ca的话，就必须每个ca都捆绑crl，并在c_rehash创建的符号连接的目录中指定ssl-crl，指定ssl-crl路径(仅openssl)。如果使用crl，那mysql 的版本要是5.6或更高，然后更新crl，也更新所有客户端。

注意: 如果密钥泄露了，就必须重新创建私有密钥，仅用以前的csr（证书签名请求）是不够的。

客户端配置注意事项

ssl-ca 参数可在my.cnf的[client]部分设置，但这样设置mysql binlog就不管用了，所以在客户端用loose-ssl-ca 代替。ssl-key 和 ssl-cert 参数应该是在~/.my.cnf文件的[client]部分，这些文件都应该适当的保护起来。

目前以my_config_editor创建的'login-path'无法添加到ssl设置。

密码注意事项

用 ssl 加密，可以设置一定的密码，用 yassl 就很有限。当使用 openssl 时，就可以使用一个密码套件，这套件是一组特定的密码集、一些过滤器和一个规则。

yassl, openssl 的状态变量注意事项

如果很难判断你的mysql用的是 openssl 还是 yassl， 有些方法可以帮你，如使用命令ldd /path/to/mysqld。默认情况下 mysql community edition 用的是 yassl ， mysql enterprise edition 用的是 openssl。

根据ssl执行情况，某些状态变量可能更新的不正确。

为确保不受任何ssl漏洞影响，你最好参照 oracle 关键补丁更新，保持你的 mysql 和 openssl及时更新。

运行 ca的注意事项

其实并没有看起来那么容易，往往开始很简单，往后很无奈。要十分肯定的知道怎么发布crl，x509 扩展是什么，你都必须用什么。

有个网站告诉你如何配置你自己的ca：如何做一个自有的证书颁发机构（ca） - jamielinux

也有许多公共ca会给你私有的 ca 提供主机。

ssl/tls书籍推荐

笔者推荐一本关于ssl的书：bulletproof ssl and tls 《ssl和tls的防弹衣》

还有一本关于密码学历史的书，非常有趣：the code book

译者高中时候读过这本书的中文版《密码故事》，确实不错。