你的MySQL服务器开启SSL了吗？

分类：服务器运维作者：编程之家用户

《你的MySQL服务器开启SSL了吗？》要点：
本文介绍了你的MySQL服务器开启SSL了吗？，希望对您有用。如果有疑问，可以联系我们。

作者介绍

赵海亮,现任职于58赶集集团-安居客MySQL DBA,主要从事安居客MySQL数据库的优化、升级、迁移等工作.

最近,准备升级一组MySQL到5.7版本,在安装完MySQL5.7后,在其data目录下发现多了很多.pem类型的文件,然后通过查阅相关资料,才知这些文件是MySQL5.7使用SSL加密连接的.本篇主要介绍如何使用MySQL5.7 SSL连接加密功能以及使用SSL的一些注意点.

我们知道,MySQL5.7之前版本,安全性做得并不够好,比如安装时生成的Root空密码账号、存在任何用户都能连接上的test库等,导致数据库存在较大的安全隐患.好在5.7版本对以上问题进行了一一修复.与此同时,MySQL 5.7版本还提供了更为简单SSL安全访问配置,且默认连接就采用SSL的加密方式,这让数据库的安全性提高一个层次.

SSL介绍

SSL(Secure Socket Layer：安全套接字层)利用数据加密、身份验证和消息完整性验证机制,为基于TCP等可靠连接的应用层协议提供安全性保证.

SSL协议提供的功能主要有：

  1. 数据传输的机密性：利用对称密钥算法对传输的数据进行加密.
  2. 身份验证机制：基于证书利用数字签名方法对服务器和客户端进行身份验证,其中客户端的身份验证是可选的.
  3. 消息完整性验证：消息传输过程中使用MAC算法来检验消息的完整性.

如果用户的传输不是通过SSL的方式,那么其在网络中数据都是以明文进行传输的,而这给别有用心的人带来了可乘之机.所以,现在很多大型网站都开启了SSL功能.同样地,在我们数据库方面,如果客户端连接服务器获取数据不是使用SSL连接,那么在传输过程中,数据就有可能被窃取.

MySQL5.7 SSL配置和启用

1、安装时启动SSL

在MySQL5.7安装初始化阶段,我们发现这个版本比之前版本多了一步操作,而这个操作就是安装SSL的.

MySQL

当运行完这个命令后,默认会在data_dir目录下生成以下pem文件,这些文件就是用于启用SSL功能的：

SSL

这时从数据库服务器本地进入MySQL命令行,你可以看到如下变量值：

MySQL

注意：如果用户是采用本地localhost或者sock连接数据库,那么不会使用SSL方式了.

2、如果安装MySQL5.7时没有运行过mysql_ssl_rsa_setup,那么如何开启SSL呢?

  1. 关闭MySQL服务
  2. 运行mysql_ssl_rsa_setup 命令
  3. 到data_dir目录下修改.pem文件的所属权限用户为mysql chown -R mysql.mysql *.pem
  4. 启动MySQL服务

3、强制某用户必须使用SSL连接数据库

你的MySQL服务器开启SSL了吗？

对于上面强制使用SSL连接的用户,如果不是使用ssl连接的就会报错,像下面这样：

SSL

未使用SSL和使用SSL安全性对比

测试方式：在MySQL服务器端通过tshark抓包的方式来模拟窃取数据.验证、对比未使用SSL和使用SSL两者在安全性上有什么不同?

1、未使用SSL情况

在客户端机器上连接数据库并进行insert操作,使用–ssl-mode=DISABLED关闭SSL.

你的MySQL服务器开启SSL了吗？

同时在MySQL服务器端上用tshark进行抓包：

你的MySQL服务器开启SSL了吗？

结论：未使用SSL情况下,在数据库服务器端可以通过抓包的方式获取数据,安全性不高.

2、采用SSL情况

在客户端机器上连接数据库并进行insert操作,使用–ssl-mode=REQUIRED指定SSL

insert

同时在MySQL服务器端上再次用tshark进行抓包：

tshark

【结论】没有抓到该语句,采用SSL加密后,tshark抓不到数据,安全性高.

使用SSL前后性能对比(QPS)

服务器配置：

CPU：32核心

内存：128G

磁盘：SSD

为了尽量准确测试QPS,采用全内存查询.因为我们线上热点数据基本都在内存中；按照并发线程数分类：1线程、4线程、8线程、16线程、24线程、32线程、64线程；

你的MySQL服务器开启SSL了吗？

具体数据如下：

数据

从测试数据可以发现,开启SSL后,数据库QPS平均降低了23%左右,相对还是比较影响性能的.从SSL实现方式来看,建立连接时需要进行握手、加密、解密等操作.所以耗时基本都在建立连接阶段,这对于使用短链接的应用程序可能产生更大的性能损耗,比如采用PHP开发.不过果使用连接池或者长连接可能会好许多.

总结

  • MySQL5.7默认是开启SSL连接,如果强制用户使用SSL连接,那么应用程序的配置也需要明确指定SSL相关参数,否则程序会报错.
  • 虽然SSL方式使得安全性提高了,但是相对地使得QPS也降低23%左右.所以要谨慎选择：1)对于非常敏感核心的数据,或者QPS本来就不高的核心数据,可以采用SSL方式保障数据安全性；2)对于采用短链接、要求高性能的应用,或者不产生核心敏感数据的应用,性能和可用性才是首要,建议不要采用SSL方式.

文章来自微信公众号：DBAplus社群

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。

相关推荐

CentOS_Server with GUI入门
起步 处理器架构，参考 x86是指intel的开发的一种32位指令集 intel和amd早期的cpu都支持这种指令集 AMD比Intel率先制造出了商用的兼容x86的CPU，AMD称之为AMD64 Intel选择了设计一种不兼容x86的全新64为指令集，称之为IA-64，后来支持AMD64的指令集，
常用命令总结
pscp pscp -P 22 C:\work\test.txt root@192.168.1.5:/home/data pscp -P 22 root@192.168.1.5:/home/data/test.txt C://work// 检索 find / -name default.config
Linux常用命令
文件处理 ls -a # 显示所有文件 ls -l # 显示详细信息 ls -d # 显示路径 mkdir /目录名称 # 创建目录 cd /目录名称 # 切换目录 pwd # 显示当前路径 rmdir /目录名称 # 删除目录 cp -rp [目录名称] [目标目录] # 复制目录到目标目录 cp
真实机中安装CentOS8(二)
准备一台电脑（我就用联想拯救者r7000演示） 参考博客制作启动盘 插上U盘，启动电脑，一直按F2 进入如下页面后，将U盘设置为第一启动项，点击exit，保存并退出 之后进入如下页面，选择第三项 进入如下页面，选择第四项 进入如下页面，选择第一项，选中后，先不要点Enter 按e键，将inst.st
Linux分区
认识 Linux系统是参考了UNIX系统作为模板开发的，但没有使用UNIX的代码；是UNIX的一种，但不是衍生版 在Linux内核的基础上开发是发行版 分区 逻辑分区永远从5开始 步骤 挂载：可理解为分配盘符，挂载点即是盘符名；不同之处：Linux中是以空目录名称作为盘符 Hda 第一块硬盘 Hda
常用命令：复制、剪切、分页、软链接
文件处理命令 以 . 开头的文件是隐藏文件 以 - 开头表示这是一个文件 以 d 开头表示是一个目录 以 l 开头表示是一个软链接 第一个root是所有者，第二个root是所属组 ls -h 以文件默认大小后缀 显示 ls -i 查看i节点（唯一标识） 所有者：只能有一个，可变更 所属组：只能有一个
VirtualBox中复制多个服务器并配置不同的ip
参考 01 02 03 前提环境 本地安装VirtualBox，并安装CentOS8，配置网络后，window系统上putty能连接到CentOS8服务器 配置步骤 右键服务器复制 启动复制后的服务器，查看ip和hostname发现和原来的服务器一样，需要修改 hostname # 查看主机名 vi
常用命令：文件检索
文件搜索命令 星号匹配任意字符，问号匹配任意单个字符 -iname 根据文件名查找且不区分大小写 -ok 命名会有一个询问的步骤 如果没有找到指定文件，可输入命令：updatedb 更新文件资料库；除tmp目录不在文件资料库收录范围之内 locate -i 文件名 # 检索时不区分大小写 which
虚拟机VirtualBox安装CentOS7，并配置网络
安装环境 安装最新版的Virtual Box，点击安装 下载centos8镜像 创建虚拟机，可参考 选择下载到本地的镜像 设置启动顺序 点击启动 启动过程中报错：“FATAL：No bootable medium found!” 1.没有选择iso镜像 2.光驱没有排在第一位置 3.镜像只能选择x8
Linux学习技巧
Linux严格区分大小写 所有内容文件形式保存，包括硬件 Linux不靠扩展名区分文件类型 挂载：将设备文件名和挂载点（盘符）连接的过程 Linux各个目录的作用 bin表示二进制 服务器注意事项 远程服务器不允许关机，只能重启 重启时应该关闭服务 不要在服务器访问高峰运行高负载命令 远程配置防火墙
IDE使用技巧（一）：连接CentOS
IDE连接Linux，上传下载文件 参考1 参考2 连接Linux 上传下载文件 本地项目打包后上传 查看是否上传成功，右键下载 补充 后端项目开发完成后，需clean掉临时文件target文件夹，且只推送修改过的文件 前端项目开发的过程中，需要在每个子组件中使用scoped，确保每个子组件中的编码
ubuntu入门
起步 LTS与普通版本的区别 LTS版本的发布周期更长，更加稳定 安装jdk sudo mkdir /usr/lib/jvm # 在Ubuntu中创建目录 pscp D:\安装包\linux源码包\jdk-8u291-linux-x64.tar.gz chnq@192.168.0.102:/tmp
真实机中安装CentOS7(一)
前言 最近在b站上看了兄弟连老师的Linux教程，非常适合入门：https://www.bilibili.com/video/BV1mW411i7Qf 看完后就自己来试着玩下，正好手上有台空闲的电脑就尝试不使用虚拟机的方式安装Linux系统 安装步骤 制作启动盘 下载ISO镜像，我这里下载的是Cen
Oracle VM VirtualBox创建CentOS7
新建虚拟电脑 设置内存和处理器 设置硬盘大小 完成 设置 查看光驱 设置启动顺序 点击启动 选择第1项 进入图形安装界面 选择安装位置，开始安装 设置root密码 重启 登录 查看本地文件夹 配置网络，点击设置 查看宿主机ip C:\Users\ychen λ ipconfig 无线局域网适配器 W
软件包管理：rpm命令管理
源码包安装需手动下载后安装 二进制包则在package目录下 rpm命令管理rpm包 若某个rpm包依赖于某个模块，需要到网站www.rpmfind.net查询该模块依赖的包，安装这个包后自动安装模块，之后就能安装rpm包了 安装升级时使用包全名 查询卸载时使用包名 虚拟机中的Linux系统安装rp
文本编辑器
首先进入命令模式，再输入以下命令 命令模式用于输入命令 插入模式可对文件编写操作 编辑模式下的命令是在冒号后输入 :12, 15d # 删除指定范围的行，这里是删除12到15行 :n1,n2s/old/new/g ## 表示从n1行到n2行，old表示旧的字符串 vim使用小技巧：自定义快捷键，如快
软件包管理：源码包安装
使用源码包安装，需要自己指定安装位置，通常是 /usr/local/软件名/ linux中要想启动执行文件，应使用绝对路径 /绝对路径/rpm包名 start ## 执行方式一 service rpm包名 start ## 执行方式二 使用源码包安装后，由于自定义安装路径，就不能使用service命
网络命令、关机重启命令
网络命令 在收邮件的用户中，输入 mail 可查看邮件信息，输入序列号查看详细信息 在mail命令下，输入h 查看所有邮件的列表 输入：d 序列号 # 删除邮件 last # 统计所有用户登录或重启时间，用于日志查询 lastlog # 显示包括未登录用户的登录时间 lastlog -u 用户id
软件包管理：yum在线管理
若要使用yum管理，必须能连接网络，首先配置网络IP 进入yum源文件中启动容器 使用yum源头安装rpm包不需要进入package路径，同时也不需要使用包全名，会有yum自动管理 安装软件组
docker入门
简介 client即是本机安装的docker，相当于git Docker_host相当于centos系统 registry则是docker仓库，相当于GitHub 镜像用于创建docker容器，一个镜像可以创建多个docker容器 容器是由镜像创建的运行实例，（镜像相当于类，容器相当于类创建的对象）
pythonJavaScriptjavaHTMLPHPreactjsC#AndroidCSSNode.jssqlrpython-3.xMysqLjQueryc++pandasFlutterangularIOSdjangolinuxswifttypescript路由器JSON路由器设置无线路由器h3c华三华三路由器设置华三路由器电脑软件教程arraysdocker软件图文教程Cvue.jslaravelspring-boot