Hier wird erkl\u00e4rt, wie ein MySQL Client eine verschl\u00fcsselte Verbindung zu einem MySQL Server, der mit Ubuntu 14.04 und Mysql-Server 5.6.28 betrieben wird, aufgebaut werden kann.<\/p>\n
Es werden Zertifikate mit 2048 Bits und einer G\u00fcltigkeit von 3650 Tagen erstellt. Nach diesem Zeitraum m\u00fcssen die Zertifikate verl\u00e4ngert oder neu erstellt werden.<\/p>\n
Bitte nicht vergessen, dass der Common Name (CN) vom Client und Server Zertifikat unterschiedlich ist. z.B.\u00a0servername.intelli.ch\u00a0und\u00a0client.intelli.ch<\/p>\n
cd \/etc\/mysql\/<\/pre>\n# Generate a CA key and certificate with SHA1 digest \nopenssl genrsa 2048 > ca-key.pem \nopenssl req -sha1 -new -x509 -nodes -days 3650 -key ca-key.pem > ca-cert.pem \n\n# Create server key and certficate with SHA1 digest, sign it and convert \n# the RSA key from PKCS #8 (OpenSSL 1.0 and newer) to the old PKCS #1 format \nopenssl req -sha1 -newkey rsa:2048 -days 3650 -nodes -keyout server-key.pem > server-req.pem \nopenssl x509 -sha1 -req -in server-req.pem -days 3650 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 > server-cert.pem \nopenssl rsa -in server-key.pem -out server-key.pem \n\n# Create client key and certificate with SHA digest, sign it and convert \n# the RSA key from PKCS #8 (OpenSSL 1.0 and newer) to the old PKCS #1 format \nopenssl req -sha1 -newkey rsa:2048 -days 3650 -nodes -keyout client-key.pem > client-req.pem \nopenssl x509 -sha1 -req -in client-req.pem -days 3650 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 > client-cert.pem \nopenssl rsa -in client-key.pem -out client-key.pem<\/pre>\nchmod 400 \/etc\/mysql\/*.pem\nchown mysql \/etc\/mysql\/*.pem\n<\/pre>\nSSL Konfiguration aktivieren<\/span><\/h2>\n
In der MySQL Konfiguration (\/
etc\/mysql\/my.cnf<\/code>) muss SSL mit den zugeh\u00f6rigen Zertifikaten aktiviert werden.<\/p>\nssl-ca=\/etc\/mysql\/ca-cert.pem\nssl-cert=\/etc\/mysql\/server-cert.pem\nssl-key=\/etc\/mysql\/server-key.pem<\/pre>\nNun MySql-Server neu starten<\/p>\n
sudo service mysql restart<\/pre>\nEs kann auf der DB \u00fcberpr\u00fcft werden, ob die Konfiguration richtig \u00fcbernommen wurde:<\/p>\n
mysql > show variables like '%ssl%';\n\n+---------------+----------------------------------+\n| Variable_name | Value |\n+---------------+----------------------------------+\n| have_openssl | YES |\n| have_ssl | YES |\n| ssl_ca | \/etc\/mysql\/ca-cert.pem |\n| ssl_capath | |\n| ssl_cert | \/etc\/mysql\/server-cert.pem |\n| ssl_cipher | |\n| ssl_key | \/etc\/mysql\/server-key.pem |\n+---------------+----------------------------------+<\/pre>\nSSL Verschl\u00fcsselung f\u00fcr MySQL User aktivieren<\/span><\/h2>\n
Es gibt folgende M\u00f6glichkeiten bei der Rechtevergabe f\u00fcr Benutzer in Bezug auf SSL:<\/p>\n
\n
- REQUIRE X509<\/b>: ein beliebiges g\u00fcltiges SSL Client Zertifikat kann verwendet werden<\/li>\n
- REQUIRE ISSUER \/ REQUIRE SUBJECT<\/b>: ein beliebiges g\u00fcltiges SSL Client Zertifikat reicht nicht aus, es muss von einer mit ISSUER <\/b>spezifizierten CA kommen und\/oder ein bestimmtes SUBJECT<\/b> enthalten.<\/li>\n
- REQUIRE SSL<\/b>: die Verbindung muss \u00fcber SSL verschl\u00fcsselt aufgebaut werden, die Authenfizierung kann sowohl via Passwort als auch \u00fcber ein SSL Client Zertifikat erfolgen.<\/li>\n<\/ul>\n
Im Folgenden Beispiel wird der User „ssluser“ erstellt der alle Rechte (ALL PRIVILEGES) auf alle Datenbanken (*.*) am „localhost“ hat und ein g\u00fcltiges SSL Client Zertifikat vorweisen muss.<\/p>\n
GRANT ALL PRIVILEGES ON *.* TO 'ssluser'@'localhost' IDENTIFIED BY 'topsecret' REQUIRE X509;\n<\/pre>\nClient SSL erzwingen<\/span><\/h3>\n
grant all privileges on database.* to 'username'@'hostaddress' identified by 'password' require SSL;\n\noder \n\nGRANT USAGE ON *.* TO 'ralph'@'%' REQUIRE SSL;<\/pre>\nVerschl\u00fcsselte MySQL Verbindung testen<\/span><\/h2>\n
cd \/etc\/mysql\/\nmysql -ussluser -p -h127.0.0.1 --ssl-ca=ca-cert.pem --ssl-cert=client-cert.pem --ssl-key=client-key.pem\n<\/pre>\nHint: Auf Ubuntu 18.04 schlug dieser Befehl mit dem Feher „SSL connection error: SSL_CTX_set_default_verify_paths failed“ fehl. Das liegt daran, weil der lokale User mit dem dieser mysql-Befehl ausgef\u00fchrt wird, keine Berechtigung auf die Zertifikate hat. Um den Test trotzdem machen zu k\u00f6nnen, kann der Befehl mit sudo ausgef\u00fchrt werden.<\/p>\n
Die SSL Keys m\u00fcssen wenn der Zugriff von einem entfernten Host aus erfolgen soll nat\u00fcrlich vorher dorthin kopiert werden.<\/p>\n
Mittels dem Befehl
SHOW STATUS LIKE 'Ssl_cipher';<\/code> kann sich der Verschl\u00fcsselungsstatus des verbundenen MySQL Clients angezeigt werden lassen.<\/p>\nmysql > SHOW STATUS LIKE 'Ssl_cipher';\n\n+---------------+--------------------+\n| Variable_name | Value |\n+---------------+--------------------+\n| Ssl_cipher | DHE-RSA-AES256-SHA | \n+---------------+--------------------+\n1 row in set (0.00 sec)\n<\/pre>\nmysql> SHOW STATUS LIKE 'Ssl_version';\n\n+---------------+---------+\n| Variable_name | Value |\n+---------------+---------+\n| Ssl_version | TLSv1.1 |\n+---------------+---------+\n1 row in set (0.01 sec)\n<\/pre>\n\u00dcberpr\u00fcfe alle Server-Connections<\/h2>\n
Es kann auch \u00fcberpr\u00fcft werden ob ALLE Verbindungen zum Mysql-Server auch wirklich mit SSL Connecten.<\/p>\n
Mit folgendem Befehl kann \u00fcberpr\u00fcft werden ob und welche User mit SSL mit dem Mysql-Server kommunizieren:<\/p>\n
SELECT sbt.variable_value AS tls_version, t2.variable_value AS cipher, processlist_user AS user, processlist_host AS host FROM performance_schema.status_by_thread AS sbt JOIN performance_schema.threads AS t ON t.thread_id = sbt.thread_id JOIN performance_schema.status_by_thread AS t2 ON t2.thread_id = t.thread_id WHERE sbt.variable_name = 'Ssl_version' and t2.variable_name = 'Ssl_cipher' ORDER BY tls_version;<\/pre>\nLinks<\/h2>\n
\n
- Bei diesem Beitrag handelt es sich um eine Erweiterung des Beitrags von\u00a0Christoph Mitasch<\/a>. Siehe auch\u00a0https:\/\/www.thomas-krenn.com\/de\/wiki\/MySQL_Verbindungen_mit_SSL_verschl%C3%BCsseln<\/a><\/li>\n
- https:\/\/www.howtoforge.com\/tutorial\/how-to-enable-ssl-and-remote-connections-for-mysql-on-centos-7\/<\/a><\/li>\n
- https:\/\/www.percona.com\/blog\/2016\/02\/23\/mysql-connection-using-ssl-or-not\/<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"
Hier wird erkl\u00e4rt, wie ein MySQL Client eine verschl\u00fcsselte Verbindung zu einem MySQL Server, der mit Ubuntu 14.04 und Mysql-Server 5.6.28 betrieben wird, aufgebaut werden kann. SSL Zertifikate erstellen Es werden Zertifikate mit 2048 Bits und einer G\u00fcltigkeit von 3650 Tagen erstellt. Nach diesem Zeitraum m\u00fcssen die Zertifikate verl\u00e4ngert oder neu erstellt werden. Bitte nicht […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[17],"tags":[26],"class_list":["post-586","post","type-post","status-publish","format-standard","hentry","category-mysql","tag-tomcat-mysql-java"],"modified_by":"ralph","_links":{"self":[{"href":"https:\/\/www.dev-metal.ch\/index.php?rest_route=\/wp\/v2\/posts\/586","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.dev-metal.ch\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.dev-metal.ch\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.dev-metal.ch\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.dev-metal.ch\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=586"}],"version-history":[{"count":19,"href":"https:\/\/www.dev-metal.ch\/index.php?rest_route=\/wp\/v2\/posts\/586\/revisions"}],"predecessor-version":[{"id":2010,"href":"https:\/\/www.dev-metal.ch\/index.php?rest_route=\/wp\/v2\/posts\/586\/revisions\/2010"}],"wp:attachment":[{"href":"https:\/\/www.dev-metal.ch\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=586"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.dev-metal.ch\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=586"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.dev-metal.ch\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=586"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}