Par défaut, MySQL utilise une connexion en clair entre le client et le serveur. Cela signifie qu'une personne peut surveiller votre trafic, et lire les données échangées. Cette personne pourrait aussi modifier les données qui transitent entre le client et le serveur. Parfois, vous aurez besoin d'échanger des informations sur un réseau public, mais en sécurisant ces informations. Dans ce cas, utiliser une connexion sans protection est inacceptable.
SSL est un protocole qui utilise différents algorithmes de chiffrement pour s'assurer que les données qui transitent par un réseau public peuvent être considérées comme fiables. Ce protocole dispose de méthodes pour s'assurer que les données n'ont pas été modifiées, ce que soit par une altération, une perte ou une répétition des données. SSL inclut aussi des algorithmes pour reconnaître et fournit des outils de vérifications d'identité, pris en charge par le standard X509.
Le chiffrement est une méthode pour rendre des données illisibles. En fait, les pratiques actuelles requièrent d'autres éléments de sécurité issus des algorithmes de chiffrement. Ils doivent savoir résister à de nombreux types d'attaque, comme la modification de l'ordre des messages ou les répétitions inopinées.
X509 est un standard qui rend possible l'identification d'une personne sur l'internet. Il est particulièrement utilisé pour les applications e-commerce. En termes simples, il doit y avoir une entreprise (appelée l'``autorité de certification'') qui assigne un certificat électronique à toute personne qui en a besoin. Ces certificats utilisent un chiffrement assymétrique qui exploitent deux clés de chiffrement, une clé publique et une clé privée. Le propriétaire d'un certificat peut prouver son identité en montrant son certificat à l'autre partie. Un certificat est constitué de la clé publique du propriétaire. Toute donnée qui est chiffrée avec cette clé publique doit être déchiffrée avec la clé secrète correspondante, qui est détenue par le propriétaire du certificat.
MySQL n'utilise pas les connexions chiffrées par défaut, car cela ralentit considérablement le protocole de communication. Toute fonctionnalité supplémentaire requiert du travail supplémentaire de la part du serveur, et chiffrer des données est une tâche particulièrement coûteuse, qui peut ralentir considérablement les tâches principales de MySQL. Par défaut, MySQL est paramétré pour être aussi rapide que possible.
A savoir :
MySQL permet de faire du cas par cas.
Il est possible de n'activer SSL que pour certains utilisateurs ou encore de permettre des communications sécurisées avec un utilisateur sans vérifier l'authenticité du client.
Vérification du support ssl :
Afin de savoir si un serveur MySQL possède le support pour SSL, il suffit de s'y connecter et de taper la requête suivante :
mysql> SHOW VARIABLES LIKE 'have_openssl';
+------------------+-------------+
| Variable_name | Value |
+------------------+-------------+
| have_openssl | DISABLED |
+------------------+-------------+
1 row IN SET (0.00 sec)
Le support est disponible mais non actif.
Activation du support ssl et création des certificats
Tout les certificats doivent être en format "pem" (X509 en base-64)
1) On crée le répertoire
mkdir -p /etc/ssl/mysql/private
mkdir /etc/ssl/mysql/newcerts/
cd /etc/ssl/mysql
2) Création des fichiers nécessaires : database, serial
touch /etc/ssl/mysql/index.txt
echo "01" > /etc/ssl/mysql/serial
3) Préparation d'un openssl.cnf alternatif
srv94 mysql # cp -av /etc/ssl/openssl.cnf ./
`/etc/ssl/openssl.cnf' -> `./openssl.cnf'
4) On modifie openssl.cnf
srv94 mysql # diff /etc/ssl/openssl.cnf ./openssl.cnf
37c37
< dir = ./demoCA # Where everything is kept
---
> dir = /etc/ssl/mysql/ # Where everything is kept
- Génération du certificat d'autorité (CA) :
srv94 mysql # openssl req -new -x509 -keyout /etc/ssl/mysql/private/cakey.pem -out /etc/ssl/mysql/cacert.pem -config /etc/ssl/mysql/openssl.cnf
Generating a 1024 bit RSA private key
................++++++
..........................++++++
writing new private key to '/etc/ssl/mysql/private/cakey.pem'
Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:FR
State or Province Name (full name) [Some-State]:Seine Saint-Denis
Locality Name (eg, city) []:Saint-Denis
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Euro-Web SARL
Organizational Unit Name (eg, section) []:
Common Name (eg, YOUR name) []:srv94.sd-france.net
Email Address []:xxxxxxx@xxxxx.xx
- On génère la clé privée du serveur ainsi qu'une demande de certificat :
srv94 mysql # openssl req -new -keyout /etc/ssl/mysql/server-key.pem -out /etc/ssl/mysql/server-req.pem -days 3600 -config /etc/ssl/mysql/openssl.cnf
Generating a 1024 bit RSA private key
.......................................++++++
............++++++
writing new private key to '/etc/ssl/mysql/server-key.pem'
Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:FR
State or Province Name (full name) [Some-State]:Seine Saint-Denis
Locality Name (eg, city) []:Saint-Denis
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Euro-Web SARL
Organizational Unit Name (eg, section) []:
Common Name (eg, YOUR name) []:srv94.sd-france.net
Email Address []:xxxxxxx@xxxxx.xx
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
- On supprime la passphrase de la clé :
srv94 mysql # openssl rsa -in /etc/ssl/mysql/server-key.pem -out /etc/ssl/mysql/server-key.pem
Enter pass phrase for /etc/ssl/mysql/server-key.pem:
writing RSA key
- Signature par l'autorité de certification (CA) du certificat serveur :
srv94 mysql # openssl ca -policy policy_anything -out /etc/ssl/mysql/server-cert.pem -config /etc/ssl/mysql/openssl.cnf -infiles /etc/ssl/mysql/server-req.pem
Using configuration from /etc/ssl/mysql/openssl.cnf
Enter pass phrase for /etc/ssl/mysql//private/cakey.pem:
Check that the request matches the signature
Signature ok
Certificate Details:
Serial Number: 1 (0x1)
Validity
Not Before: Feb 12 17:55:14 2009 GMT
Not After : Feb 12 17:55:14 2010 GMT
Subject:
countryName = FR
stateOrProvinceName = Seine Saint-Denis
localityName = Saint-Denis
organizationName = Euro-Web SARL
commonName = srv94.sd-france.net
emailAddress = xxxxxxx@xxxxx.xx
X509v3 extensions:
X509v3 Basic Constraints:
CA:FALSE
Netscape Comment:
OpenSSL Generated Certificate
X509v3 Subject Key Identifier:
CC:D2:B4:BF:DD:7F:07:9D:46:5F:22:3B:4D:A4:8C:08:D6:C2:EB:B7
X509v3 Authority Key Identifier:
keyid:54:F0:E4:EF:61:E0:05:70:F1:24:82:B2:06:69:60:83:01:4E:27:16
Certificate is to be certified until Feb 12 17:55:14 2010 GMT (365 days)
Sign the certificate? [y/n]:y
1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated
- On génère la clé privée du client ainsi qu'une demande de certificat :
srv94 mysql # openssl req -new -keyout /etc/ssl/mysql/client-key.pem -out /etc/ssl/mysql/client-req.pem -days 3600 -config /etc/ssl/mysql/openssl.cnf
Generating a 1024 bit RSA private key
..............++++++
...................................++++++
writing new private key to '/etc/ssl/mysql/client-key.pem'
Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:FR
State or Province Name (full name) [Some-State]:Paris
Locality Name (eg, city) []:Paris
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Euro-Web
Organizational Unit Name (eg, section) []:SD-France
Common Name (eg, YOUR name) []:blog.yacoubi.fr
Email Address []:xxxxx@xxx.xx
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:
- On supprime la passphrase
srv94 mysql # openssl rsa -in /etc/ssl/mysql/client-key.pem -out /etc/ssl/mysql/client-key.pem
Enter pass phrase for /etc/ssl/mysql/client-key.pem:
writing RSA key
- Et enfin on signe par le CA le certificat
srv94 mysql # openssl ca -policy policy_anything -out /etc/ssl/mysql/client-cert.pem -config /etc/ssl/mysql/openssl.cnf -infiles /etc/ssl/mysql/client-req.pem
Using configuration from /etc/ssl/mysql/openssl.cnf
Enter pass phrase for /etc/ssl/mysql//private/cakey.pem:
Check that the request matches the signature
Signature ok
Certificate Details:
Serial Number: 2 (0x2)
Validity
Not Before: Feb 12 18:07:44 2009 GMT
Not After : Feb 12 18:07:44 2010 GMT
Subject:
countryName = FR
stateOrProvinceName = Paris
localityName = Paris
organizationName = Euro-Web
organizationalUnitName = SD-France
commonName = blog.yacoubi.fr
emailAddress = xxxxx@xxx.xx
X509v3 extensions:
X509v3 Basic Constraints:
CA:FALSE
Netscape Comment:
OpenSSL Generated Certificate
X509v3 Subject Key Identifier:
09:76:3A:FC:BF:58:34:42:CF:54:CE:23:81:63:C4:13:A3:4F:CD:5B
X509v3 Authority Key Identifier:
keyid:54:F0:E4:EF:61:E0:05:70:F1:24:82:B2:06:69:60:83:01:4E:27:16
Certificate is to be certified until Feb 12 18:07:44 2010 GMT (365 days)
Sign the certificate? [y/n]:y
1 out of 1 certificate requests certified, commit? [y/n]y
Write out database with 1 new entries
Data Base Updated
Configuration du serveur :
On modifie la configuration de MYSQL
[mysqld]
ssl-ca=/etc/ssl/mysql/cacert.pem
ssl-cert=/etc/ssl/mysql/server-cert.pem
ssl-KEY=/etc/ssl/mysql/server-KEY.pem
On vérifie que SSL est bien activé
mysql> SHOW VARIABLES LIKE 'have_openssl';
+------------------+-------+
| Variable_name | Value |
+------------------+-------+
| have_openssl | YES |
+------------------+-------+
1 row IN SET (0.00 sec)
Pour la suite tout se fera à la ligne de commande, vous pouvez bien entendu configuré /etc/mysql/my.cnf en conséquence
[client]
ssl-ca = /etc/ssl/mysql/cacert.pem
ssl-cert = /etc/ssl/mysql/client-cert.pem
ssl-KEY = /etc/ssl/mysql/client-KEY.pem
On crée/modifie un utilisateur pour forcer le SSL
REVOKE ALL PRIVILEGES ON `mohamed`.* FROM 'mohamed'@'%'; GRANT SELECT, INSERT, UPDATE, DELETE, CREATE, DROP, INDEX, ALTER, CREATE TEMPORARY TABLES, LOCK TABLES, CREATE VIEW, SHOW VIEW, CREATE ROUTINE, ALTER ROUTINE, EXECUTE ON `mohamed`.* TO 'mohamed'@'%' REQUIRE SSL;
Un test pour une connexion standard nous permet de vérifier que SSL est bien requis
blog ~ # mysql -umohamed -pssl -hsrv94
ERROR 1045 (28000): Access denied for user 'mohamed'@'localhost' (using password: YES)
Un nouveau test en précisant le CA, on constate que la connexion s'établie
blog ~ # mysql -umohamed -pssl --ssl-ca=/etc/mysql/ca-cert.pem -hsrv94
Welcome to the MySQL monitor. Commands end with ; or \g.
Your MySQL connection id is 101
Server version: 5.0.70 Gentoo Linux mysql-5.0.70-r1
Type 'help;' or '\h' for help. Type '\c' to clear the buffer.
mysql>
Voici la différence entre la version non SSL et SSL obtenu en sniffant
mysqlsniffer listening for MySQL on interface eth0 port 3306
78.41.233.209.60024 > server: ID 0 len 1 COM_QUIT
server > 78.41.233.209.60025: ID 0 len 52 Handshake <proto 10 ver 5.0.70 thd 17>
78.41.233.209.60025 > server: ID 1 len 61 Handshake (new auth) <user mohamed db (null) max pkt 16777216>
server > 78.41.233.209.60025: ID 2 len 7 OK <fields 0 affected rows 0 insert id 0 warnings 0>
78.41.233.209.60025 > server: ID 0 len 33 COM_QUERY: select @@version_comment limit 1
server > 78.41.233.209.60025: ID 1 len 1 1 Fields
ID 2 len 39 Field: ..@@version_comment <type var string (509) size 28>
ID 3 len 5 End <warnings 0>
ID 4 len 29 || Gentoo Linux mysql-5.0.70-r1 ||
ID 5 len 5 End <warnings 0>
mysqlsniffer listening for MySQL on interface eth0 port 3306
server > 78.41.233.209.60302: ID 0 len 52 Handshake <proto 10 ver 5.0.70 thd 21>
78.41.233.209.60302 > server: ID 1 len 32 Handshake (new auth) <user db (null) max pkt 16777216>
78.41.233.209.60302 > server: ::FRAGMENT END::
server > 78.41.233.209.60302:
::FRAGMENT START::
::FRAGMENT END::
78.41.233.209.60302 > server:
::FRAGMENT START::
::FRAGMENT END::
server > 78.41.233.209.60302:
::FRAGMENT START::
::FRAGMENT END::
78.41.233.209.60302 > server:
::FRAGMENT START::
::FRAGMENT END::
server > 78.41.233.209.60302:
::FRAGMENT START::
::FRAGMENT END::
78.41.233.209.60302 > server:
::FRAGMENT START::
::FRAGMENT END::
server > 78.41.233.209.60302:
::FRAGMENT START::
::FRAGMENT END::
Il est à noter que cette option active juste le cryptage, on teste avec un fichier pris au hasard sur le système
blog ~ # mysql -umohamed -pssl --ssl-ca=/root/LISEZMOI.TXT -hsrv94
Welcome to the MySQL monitor. Commands end with ; or \g.
Your MySQL connection id is 103
Server version: 5.0.70 Gentoo Linux mysql-5.0.70-r1
Type 'help;' or '\h' for help. Type '\c' to clear the buffer.
mysql>
C'est bien beau de chiffré mais si n'importe quelle fichier peut faire office de CA ça limite l'intérêt.
Nous allons donc forcer l'utilisation d'un certificat valide, donc signé
REVOKE ALL PRIVILEGES ON `mohamed`.* FROM 'mohamed'@'%'; GRANT SELECT, INSERT, UPDATE, DELETE, CREATE, DROP, INDEX, ALTER, CREATE TEMPORARY TABLES, LOCK TABLES, CREATE VIEW, SHOW VIEW, CREATE ROUTINE, ALTER ROUTINE, EXECUTE ON `mohamed`.* TO 'mohamed'@'%' REQUIRE X509;
On test de nouveau
blog ~ # mysql -umohamed -pssl -hsrv94
ERROR 1045 (28000): Access denied for user 'mohamed'@'localhost' (using password: YES)
blog ~ # mysql -umohamed -pssl --ssl-ca=/root/LISEZMOI.TXT -hsrv94
ERROR 1045 (28000): Access denied for user 'mohamed'@'localhost' (using password: YES)
blog ~ # mysql -umohamed -pssl --ssl-ca=/etc/ssl/mysql/ca-cert.pem -hsrv94
ERROR 1045 (28000): Access denied for user 'mohamed'@'localhost' (using password: YES)
C'est parfait, on test à présent avec le certificat signé par la CA
blog ~ # mysql -umohamed -pssl --ssl-ca=/etc/ssl/mysql/ca-cert.pem --ssl-cert=/etc/ssl/mysql/client-cert.pem --ssl-key=/etc/ssl/mysql/client-key.pem -hsrv94
Welcome to the MySQL monitor. Commands end with ; or \g.
Your MySQL connection id is 109
Server version: 5.0.70 Gentoo Linux mysql-5.0.70-r1
Type 'help;' or '\h' for help. Type '\c' to clear the buffer.
mysql>
Et voila ca fonctionne, le seul bémol est que pour le moment il n'est pas possible de définir un certificat pour un utilisateur précis.
Il est à noter que nous pouvons ajouter d'autres options afin d'accroître la sécurité :
REQUIRE ISSUER "issuer" restreint les tentatives de connexion : le client doit se présenter avec un certificat X509 valide, émis par l' autorité de certification "issuer". Utiliser un certificat X509 implique obligatoirement des chiffrements, donc l'option SSL est sous entendue.
REQUIRE SUBJECT "subject" impose au client d'avoir un certificat X509 valide, avec le sujet "subject". Si le client présente un certificat valide, mais que le "subject" est différent, la connexion est refusée.
REQUIRE CIPHER "cipher" est utilisé pour s'assurer que les chiffrements sont suffisamment robuste, et que la bonne longueur de clé est utilisée. SSL lui même peut être faible si des algorithmes sont utilisés avec des clés courtes. En utilisant cette option, il est possible d'imposer la méthode de chiffrement avec la connexion.
Les options SUBJECT, ISSUER et CIPHER peuvent être combinées avec la clause REQUIRE.
Lien : Mysql secure connections
