Казват, че най-добрата парола е тази, която не трябва да запомняте. В случая с MySQL това е реално благодарение на плъгина и неговата версия за MariaDB — .
И двата тези плъгина не са нови, много се говореше за тях в този блог, например в статията за това, . Въпреки това, разглеждайки какво ново има в MariaDB 10.4, открих, че unix_socket сега се инсталира по подразбиране и е един от методите за удостоверяване („един от“, защото в MariaDB 10.4 на един потребител са достъпни повече от един плъгин за удостоверяване, което се обяснява в документа ).
Както казах, това не са новини, и когато инсталирате MySQL, използвайки поддържаните от екипа на Debian пакети .deb, потребителят с root права се създава под удостоверяване чрез сокет. Това важи както за MySQL, така и за MariaDB.
root@app:~# apt-cache show mysql-server-5.7 | grep -i maintainers
Оригинален поддръжник: Debian MySQL Maintainers <pkg-mysql-maint@lists.alioth.debian.org>
Оригинален поддръжник: Debian MySQL Maintainers <<a href="mailto:pkg-mysql-maint@lists.alioth.debian.org">pkg-mysql-maint@lists.alioth.debian.org</a>>С пакетите Debian за MySQL, root потребителят се удостоверява по следния начин:
root@app:~# whoami
root=
root@app:~# mysql
Добре дошли в MySQL монитора. Командите завършват с ; или g.
Вашият MySQL идентификационен номер е 4
Сървърна версия: 5.7.27-0ubuntu0.16.04.1 (Ubuntu)
Авторски права (c) 2000, 2019, Oracle и/или неговите дъщерни дружества. Всички права запазени.
Oracle е регистрирана търговска марка на Oracle Corporation и/или неговите дъщерни дружества. Други имена може да бъдат търговски марки на съответните им собственици.
Напишете 'help;' или 'h' за помощ. Напишете 'c' за да изчистите текущото входно изявление.
mysql> select user, host, plugin, authentication_string from mysql.user where user = 'root';
+------+-----------+-------------+-----------------------+
| user | host | plugin | authentication_string |
+------+-----------+-------------+-----------------------+
| root | localhost | auth_socket | |
+------+-----------+-------------+-----------------------+
1 ред в набора (0.01 сек)Същото важи и за пакета .deb за MariaDB:
10.0.38-MariaDB-0ubuntu0.16.04.1 Ubuntu 16.04
MariaDB [(none)]> show grants;
+------------------------------------------------------------------------------------------------+
| Grants for root@localhost |
+------------------------------------------------------------------------------------------------+
| GRANT ALL PRIVILEGES ON *.* TO 'root'@'localhost' IDENTIFIED VIA unix_socket WITH GRANT OPTION |
| GRANT PROXY ON ''@'%' TO 'root'@'localhost' WITH GRANT OPTION |
+------------------------------------------------------------------------------------------------+
2 реда в набора (0.00 сек)Пакетите .deb от официалното хранилище Percona също конфигурират удостоверяването на потребителя с root права под auth-socket и за Percona Server. Дайте пример с и Ubuntu 16.04:
root@app:~# whoami
root
root@app:~# mysql
Добре дошли в MySQL монитора. Командите завършват с ; или g.
Вашият идентификатор на MySQL връзката е 9
Версия на сървъра: 8.0.16-7 Percona Server (GPL), Release '7', Revision '613e312'
Авторски права (c) 2009-2019 Percona LLC и/или нейните филиали
Авторски права (c) 2000, 2019, Oracle и/или нейните филиали. Всички права запазени.
Oracle е регистрирана търговска марка на Oracle Corporation и/или нейните
aктиви. Други имена може да са търговски марки на съответните им
собственици.
Напишете 'help;' или 'h' за помощ. Напишете 'c' за да изчистите текущото входно изявление.
mysql> select user, host, plugin, authentication_string from mysql.user where user ='root';
+------+-----------+-------------+-----------------------+
| user | host | plugin | authentication_string |
+------+-----------+-------------+-----------------------+
| root | localhost | auth_socket | |
+------+-----------+-------------+-----------------------+
1 ред в набора (0.00 сек)Но в какво се състои магията? Плагинът проверява дали Linux потребителят отговаря на MySQL потребителя, използвайки сокет-опцията SO_PEERCRED — за да събере информация за потребителя, който стартира клиентската програма. По този начин плагинът може да се използва само на системи, които поддържат опцията SO_PEERCRED, като същия Linux. Сокет-опцията SO_PEERCRED позволява да се установи uid, свързан с процеса на сокета. А след това той получава свързаното с този uid име на потребителя.
Нека да приведем пример с потребителя «vagrant»:
vagrant@mysql1:~$ whoami
vagrant
vagrant@mysql1:~$ mysql
ГРЕШКА 1698 (28000): Достъпът е отказан за потребителя 'vagrant'@'localhost'Тъй като в MySQL няма потребител 'vagrant', достъпът ни е отказан. Нека създадем такъв потребител и да опитаме отново:
MariaDB [(none)]> GRANT ALL PRIVILEGES ON *.* TO 'vagrant'@'localhost' IDENTIFIED VIA unix_socket;
Запитване OK, 0 реда засегнати (0.00 сек)
vagrant@mysql1:~$ mysql
Добре дошли в MariaDB монитора. Командите завършват с ; или g.
Вашият идентификатор на MariaDB връзката е 45
Версия на сървъра: 10.0.38-MariaDB-0ubuntu0.16.04.1 Ubuntu 16.04
Авторски права (c) 2000, 2018, Oracle, MariaDB Corporation Ab и други.
Напишете 'help;' или 'h' за помощ. Напишете 'c' за да изчистите текущото входно изявление.
MariaDB [(none)]> show grants;
+---------------------------------------------------------------------------------+
| Правомощия за vagrant@localhost |
+---------------------------------------------------------------------------------+
| GRANT ALL PRIVILEGES ON *.* TO 'vagrant'@'localhost' IDENTIFIED VIA unix_socket |
+---------------------------------------------------------------------------------+
1 ред в набора (0.00 сек)Става!
А какво да кажем за не-Debian дистрибутив, където това не е предвидено по подразбиране? Нека опитаме Percona Server for MySQL 8, инсталиран на CentOS 7:
mysql> show variables like '%version%comment';
+-----------------+---------------------------------------------------+
| Име_на_променлива | Стойност |
+-----------------+---------------------------------------------------+
| version_comment | Percona Server (GPL), Release 7, Revision 613e312 |
+-----------------+---------------------------------------------------+
1 ред в набора (0.01 сек)
mysql> CREATE USER 'percona'@'localhost' IDENTIFIED WITH auth_socket;
ГРЕШКА 1524 (HY000): Плагин 'auth_socket' не е зареденПроблема. Какво не достигаше? Плъгинът не е зареден:
mysql> pager grep socket
PAGER е зададен на 'grep socket'
mysql> show plugins;
47 реда в сет (0.00 сек)Добавяме плъгин в процеса:
mysql> nopager
PAGER е зададен на stdout
mysql> INSTALL PLUGIN auth_socket SONAME 'auth_socket.so';
Запитването е успешно, 0 реда засегнати (0.00 сек)
mysql> pager grep socket; show plugins;
PAGER е зададен на 'grep socket'
| auth_socket | АКТИВЕН | АУТЕНТИКАЦИЯ | auth_socket.so | GPL |
48 реда в сет (0.00 сек)Сега имаме всичко необходимо. Нека опитаме отново:
mysql> CREATE USER 'percona'@'localhost' IDENTIFIED WITH auth_socket;
Запитването е успешно, 0 реда засегнати (0.01 сек)
mysql> GRANT ALL PRIVILEGES ON *.* TO 'percona'@'localhost';
Запитването е успешно, 0 реда засегнати (0.01 сек)Сега можем да влезем в системата с логина 'percona'.
[percona@ip-192-168-1-111 ~]$ whoami
percona
[percona@ip-192-168-1-111 ~]$ mysql -upercona
Добре дошли в MySQL монитор. Командите завършват с ; или g.
Вашият MySQL идентификатор на връзката е 19
Версия на сървъра: 8.0.16-7 Percona Server (GPL), Издание 7, Ревизия 613e312
Авторските права (c) 2009-2019 Percona LLC и/или нейните дъщерни компании
Авторските права (c) 2000, 2019, Oracle и/или нейните дъщерни компании. Всички права запазени.
Oracle е регистрирана търговска марка на Oracle Corporation и/или нейните
дъщерни компании. Други имена могат да бъдат търговски марки на съответните
им собственици.
Напишете 'help;' или 'h' за помощ. Напишете 'c', за да изчистите текущото входно изречение.
mysql> select user, host, plugin, authentication_string from mysql.user where user ='percona';
+---------+-----------+-------------+-----------------------+
| user | host | plugin | authentication_string |
+---------+-----------+-------------+-----------------------+
| percona | localhost | auth_socket | |
+---------+-----------+-------------+-----------------------+
1 ред в сет (0.00 сек)И отново успешно!
Въпрос: Ще успее ли да влезе в системата с логин 'percona', но от друг потребител?
[percona@ip-192-168-1-111 ~]$ logout
[root@ip-192-168-1-111 ~]# mysql -upercona
ГРЕШКА 1698 (28000): Достъп отказан за потребителя 'percona'@'localhost'Не, няма да успее.
Извод
MySQL е достатъчно гъвкава в няколко аспекти, един от които е методът на аутентикация. Както е видно от този пост, достъп може да бъде получен без пароли, на базата на потребители на ОС. Това може да бъде полезно при определени сценарии, а един от тях е когато мигрирате от RDS/Aurora на обикновен MySQL, използвайки , за да запазите достъпа, но без пароли.
Източник: habr.com
