MySQL 5.7 使用SSL安全连接

共计 2463 个字符，预计需要花费 7 分钟才能阅读完成。

MySQL 默认的数据通道是不加密的，在一些安全性要求特别高的场景下，我们需要配置 MySQL 端口为 SSL，使得数据通道加密处理，避免敏感信息泄漏和被篡改。

当然，启用 MySQL SSL 之后，由于每个数据包都需要加密和解密，这个对 MySQL 的性能是有不小影响的，读者们在使用的时候，要根据实际情况斟酌。

MySQL 客户端登录服务器时候的密码不是明文传输，有加密策略处理。

笔者是在 Ubuntu12.04 系统上使用 MySQL 5.5 版本测试的，其他环境请读者自行匹配。

配置 MySQL 服务器证书

编辑 /etc/mysql/my.cnf 文件
# ssl-ca=/etc/mysql/cacert.pem
# ssl-cert=/etc/mysql/server-cert.pem
# ssl-key=/etc/mysql/server-key.pem

把上面三行默认证书配置注释打开，使用自己的证书。笔者就使用上次在搭建自己的 CA 服务 – OpenSSL CA 实战文章中生成的证书
ssl-ca=/home/yunweipai/user_certs/ca_cert.cer
ssl-cert=/home/yunweipai/user_certs/web.cer
ssl-key=/home/yunweipai/user_certs/web_key_plain.pem

这里需要注意的是，在 ubuntu 上，配置证书后如果不生效，参考这里解决方法

注意上面配置的 web_key_plain.pem 文件，由于 MySQL 不支持加密后的私钥，因此我们使用命令
openssl rsa -in web_key.pem -passin pass:Yunweipai@123 -out web_key_plain.pem

将私钥解密。MySQL 不支持私钥加密的原因是从安全性角度考虑，因为如果要用户传递一个加密的私钥，那么必须要用户传密码，那么 MySQL 怎么存储这个密码呢？这就引出了我们在密码存储和传输的安全建议里面提到的一系列问题了。
所以 MySQL 为了简化实现，就不支持私钥加密。

指定客户端连接方式

MySQL 服务端在对客户端授权的时候，可以通过选项指定客户端连接 MySQL 服务器的 SSL 级别，参考 MySQL 赋权的 REQUIRE 值：
ssl_option
SSL: 不认证客户端，客户端不需要提供证书
X509: 客户端必须发送一个有效的 X509 证书
issuer: 客户端的证书是否是服务器所配置的 CA 颁发的（在我们场景下是 ca_cert.cer 颁发的证书）
subject: 认证证书的 subject（关于证书的 subject 在之前的文章有介绍）
cipher: 指定加密算法
这些选项可以叠加使用，如：X509|isSUSEr

客户端连接（SSL 方式）

mysql 客户端连接
mysql -u root -pChangeme_123 -P 3306 –ssl-ca=/home/yunweipai/user_certs/ca_cert.cer
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 36
Server version: 5.5.43-0ubuntu0.12.04.1 (Ubuntu)

Copyright (c) 2000, 2015, Oracle and/or its affiliates. All rights reserved.

Oracle is a registered trademark of Oracle Corporation and/or its
affiliates. Other names may be trademarks of their respective
owners.

Type ‘help;’ or ‘\h’ for help. Type ‘\c’ to clear the current input statement.

mysql> \s
————–
mysql  Ver 14.14 Distrib 5.5.43, for debian-linux-gnu (i686) using readline 6.2

Connection id:      36
Current database:
Current user:      root@localhost
SSL:            Cipher in use is DHE-RSA-AES256-SHA
Current pager:      stdout
Using outfile:      ”
Using delimiter:    ;
Server version:    5.5.43-0ubuntu0.12.04.1 (Ubuntu)
Protocol version:  10
Connection:    Localhost via UNIX socket
Server characterset:    latin1
Db    characterset:    latin1
Client characterset:    latin1
Conn.  characterset:    latin1
UNIX socket:        /var/run/mysqld/mysqld.sock
Uptime:        29 sec

Threads: 1  Questions: 109  Slow queries: 0  Opens: 48  Flush tables: 1  Open tables: 41  Queries per second avg: 3.758
————–

JDBC 连接

在 jdbc 字符串中增加下面参数
useSSL=true&verifyServerCertificate=false
这么就不需要客户端配置证书了，配置就简单很多。因为 mysql 本身有账号口令认证，因此不需要证书认证。

Creating SSL and RSA Certificates and Keys using MySQL

Configuring MySQL to Use Secure Connections

本文永久更新链接地址：http://www.linuxidc.com/Linux/2017-07/145339.htm