Mengaktifkan SSL di MySQL

Saya menjalankan Ubuntu Server 12.04, dan saya ingin mengaktifkan koneksi SSL ke MySQL.

Saya telah membuat file kunci / sertifikat berikut dengan OpenSSL:

• ca-cert.pem
• server-cert.pem
• server-key.pem

Saya menyimpan ini di /etc/mysql, kemudian menambahkan menambahkan baris berikut ke /etc/mysql/my.cnf:

ssl-ca=/etc/mysql/ca-cert.pem
ssl-cert=/etc/mysql/server-cert.pem
ssl-key=/etc/mysql/server-key.pem

Selanjutnya, saya restart server dengan sudo service restart mysql.

Namun, ini sepertinya tidak mengaktifkan SSL. Dalam sesi mysql:

mysql> show variables like '%ssl%';
+---------------+----------------------------+
| Variable_name | Value                      |
+---------------+----------------------------+
| have_openssl  | DISABLED                   |
| have_ssl      | DISABLED                   |
| ssl_ca        | /etc/mysql/ca-cert.pem     |
| ssl_capath    |                            |
| ssl_cert      | /etc/mysql/server-cert.pem |
| ssl_cipher    |                            |
| ssl_key       | /etc/mysql/server-key.pem  |
+---------------+----------------------------+

Ada ide apa yang saya lewatkan? Terima kasih

Ubuntu 12.04 hadir dengan OpenSSL 1.0.1, yang memiliki standar yang agak berbeda dari versi OpenSSL 0.9.8 yang lebih lama.

Antara lain, jika Anda menggunakan openssl req -newkey rsa:2048untuk menghasilkan kunci RSA, Anda akan berakhir dengan kunci dalam format yang disebut PKCS # 8 . Diwakili dalam format PEM, tombol-tombol ini memiliki -----BEGIN PRIVATE KEY-----header yang lebih umum , yang tidak memberi tahu Anda apa kunci (RSA, DSA, EC) itu.

Sebelumnya, dengan OpenSSL 0.9.8, kunci selalu dalam format yang disebut PKCS # 1 , yang diwakili sebagai PEM, memiliki header -----BEGIN RSA PRIVATE KEY-----.

Karena itu, Anda tidak dapat dengan mudah mengubah header dan footer dari:

-----BEGIN PRIVATE KEY-----

untuk

-----BEGIN RSA PRIVATE KEY-----`

Itu bukan hal yang sama dan itu tidak akan berhasil. Alih-alih, Anda perlu mengonversi kunci ke format lama menggunakan openssl rsa. Seperti ini:

openssl rsa -in key_in_pkcs1_or_pkcs8.pem -out key_in_pkcs1.pem

MySQL (v5.5.35) di Ubuntu 12.04 menggunakan implementasi SSL yang disebut yaSSL (v2.2.2). Ia mengharapkan kunci berada dalam format PKCS # 1 dan tidak mendukung format PKCS # 8 yang digunakan oleh OpenSSL 1.0 dan yang lebih baru. Jika Anda hanya mengubah header dan footer, seperti yang disarankan oleh posting lain di utas ini, MySQL / yaSSL tidak akan mengeluh, tetapi Anda tidak akan dapat terhubung dan malah berakhir dengan kesalahan seperti ini:

ERROR 2026 (HY000): SSL connection error: protocol version mismatch

Ubuntu 14.04 hadir dengan OpenSSL 1.0.1f dan pengaturan baru. Antara lain, itu akan menghasilkan sertifikat dengan SHA256 mencerna bukannya SHA1, yang digunakan dalam versi sebelumnya. Secara kebetulan, versi yaSSL yang dibundel dengan MySQL juga tidak mendukung ini.

Jika Anda membuat sertifikat untuk digunakan dengan MySQL, ingatlah untuk memastikan kunci RSA dikonversikan ke format PEM # PKCS # 1 tradisional dan bahwa sertifikat menggunakan pencerna SHA1.

Berikut adalah contoh cara menghasilkan CA Anda sendiri, sertifikat server dan sertifikat klien.

# Generate a CA key and certificate with SHA1 digest
openssl genrsa 2048 > ca-key.pem
openssl req -sha1 -new -x509 -nodes -days 3650 -key ca-key.pem > ca-cert.pem

# Create server key and certficate with SHA1 digest, sign it and convert
# the RSA key from PKCS #8 (OpenSSL 1.0 and newer) to the old PKCS #1 format
openssl req -sha1 -newkey rsa:2048 -days 730 -nodes -keyout server-key.pem > server-req.pem
openssl x509 -sha1 -req -in server-req.pem -days 730  -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 > server-cert.pem
openssl rsa -in server-key.pem -out server-key.pem

# Create client key and certificate with SHA digest, sign it and convert
# the RSA key from PKCS #8 (OpenSSL 1.0 and newer) to the old PKCS #1 format
openssl req -sha1 -newkey rsa:2048 -days 730 -nodes -keyout client-key.pem > client-req.pem
openssl x509 -sha1 -req -in client-req.pem -days 730 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 > client-cert.pem
openssl rsa -in client-key.pem -out client-key.pem

Ini membantu saya:

Header dan footer dari file server-key.pem tampak seperti itu:

-----BEGIN PRIVATE KEY-----
...
...
-----END PRIVATE KEY-----

Tapi itu membutuhkan sesuatu seperti itu:

-----BEGIN RSA PRIVATE KEY-----
...
...
-----END RSA PRIVATE KEY-----

Catat KUNCI PRIVATE RSA BEGIN

Untuk melihat log:

sudo vim /var/log/mysql/error.log

Semoga ini membantu.

Saya memiliki masalah yang sama pada 12,04 tetapi sebenarnya apparmor yang menyebabkan masalah.

Saya menemukan solusi di Forum Ubuntu , memindahkan .pemfile dalam /etc/mysqlmenyelesaikannya.

Anda juga dapat mengubah konfigurasi apparmor di /etc/apparmor.d/usr.sbin.mysqld.

Pastikan bahwa pengguna yang menjalankan proses mysqld memiliki akses baca ke file kunci dan sertifikat. Jika Anda meluncurkan MySQL menggunakan akun "mysql", Anda akan:

/etc/mysql$ chown mysql:mysql *.pem
/etc/mysql$ ls -l *.pem
-rwxrwx--- 1 mysql mysql 1631 2013-09-16 14:27 ca-cert.pem
-rwxrwx--- 1 mysql mysql 1281 2013-09-16 14:27 server-cert.pem
-rwxrwx--- 1 mysql mysql 1679 2013-09-16 14:27 server-key.pem

Jika tidak, Anda mungkin mendapatkan yang berikut ini di log kesalahan Anda:

SSL error: Unable to get certificate from '/etc/mysql/server-cert.pem'
130916 13:32:25 [Warning] Failed to setup SSL
130916 13:32:25 [Warning] SSL error: Unable to get certificate

Pada Ubuntu 16.04, saya berlari mysql_ssl_rsa_setup, bisa melihat file dalam acara variabel seperti dalam pertanyaan, tapi have_ssldan have_opensslterus menjadi DISABLED.

Solusinya adalah chown mysql.mysql /var/lib/mysql/*.pem. Atau, saya berasumsi jika Anda menjalankan mysql_ssl_rsa_setup sebagai pengguna mysql, itu akan membuat file dengan izin yang benar.

File kunci pribadi akan terlihat seperti (format PKCS # 1):

-----BEGIN RSA PRIVATE KEY-----
. . .
-----END RSA PRIVATE KEY-----

Jika kunci pribadi Anda dimulai dengan:

-----BEGIN PRIVATE KEY-----

(Format PKCS # 8), maka Anda harus mengonversinya seperti ini:

openssl rsa -in server-key.pem -out server-key.pem

Jangan menambahkan RSAtag "hilang" " secara manual dengan tangan, karena formatnya berbeda.

Opsi startup SSL harus di dekat bagian atas file my.cnf Anda atau mungkin diabaikan. Saya mengalami masalah menjalankan mysql 5.6 pada RHEL 6.4 di mana variabel SSL diabaikan, saya memilikinya di akhir file my.cnf. Saya memindahkan mereka di bagian atas file (tepat di bawah [mysqld]) lalu saya me-restart server dan semuanya baik-baik saja.