Как да използвате MySQL без парола (и рискове за сигурността)

Казват, че най-добрата парола е тази, която не трябва да запомняш. В случая с MySQL това е реално благодарение на плъгина auth_socket и неговата версия за MariaDB — unix_socket.

И двата плъгина не са нови, за тях се е говорило много в този блог, например в статията за това, как да променяш пароли в MySQL 5.7, използвайки плъгина auth_socket. Однако, разглеждайки какво ново има в MariaDB 10.4, открих, че unix_socket сега се инсталира по подразбиране и е един от методите за аутентификация ("един от", защото в MariaDB 10.4 на един потребител са достъпни повече от един плъгин, което е обяснено в документа "Аутентификация" от MariaDB 10.04).

Както вече казах, това не е новина, и когато инсталираш MySQL, използвайки поддържаните от екипа на Debian пакети .deb, потребител с root права се създава под аутентификация чрез сокет. Това важи както за MySQL, така и за MariaDB.

root@app:~# apt-cache show mysql-server-5.7 | grep -i maintainers
Оригинален поддържащ: Debian MySQL поддържащи лица <pkg-mysql-maint@lists.alioth.debian.org>
Оригинален поддържащ: Debian MySQL поддържащи лица <<a href="mailto:pkg-mysql-maint@lists.alioth.debian.org"&gt;pkg-mysql-maint@lists.alioth.debian.org</a>>

С пакетите Debian за MySQL, потребителят root се аутентифицира по следния начин:

root@app:~# whoami
root=
root@app:~# mysql
Welcome to the MySQL monitor.  Commands end with ; or g.
Your MySQL connection id is 4
Server version: 5.7.27-0ubuntu0.16.04.1 (Ubuntu)

Copyright (c) 2000, 2019, Oracle and/or its affiliates. All rights reserved.
Oracle is a registered trademark of Oracle Corporation and/or its
affiliates. Other names may be trademarks of their respective
owners.

Type 'help;' or 'h' for help. Type 'c' to clear the current input statement.

mysql> select user, host, plugin, authentication_string from mysql.user where user = 'root';
+------+-----------+-------------+-----------------------+
| user | host      | plugin | authentication_string |
+------+-----------+-------------+-----------------------+
| root | localhost | auth_socket |                       |
+------+-----------+-------------+-----------------------+
1 row in set (0.01 sec)

Същото важи и за пакета .deb за MariaDB:

10.0.38-MariaDB-0ubuntu0.16.04.1 Ubuntu 16.04

MariaDB [(none)]> show grants;
+------------------------------------------------------------------------------------------------+
| Grants for root@localhost                                                                          |
+------------------------------------------------------------------------------------------------+
| GRANT ALL PRIVILEGES ON *.* TO 'root'@'localhost' IDENTIFIED VIA unix_socket WITH GRANT OPTION |
| GRANT PROXY ON ''@'%' TO 'root'@'localhost' WITH GRANT OPTION                                       |
+------------------------------------------------------------------------------------------------+
2 rows in set (0.00 sec)

Пакетите .deb от официалното хранилище Percona също настройват аутентификацията на потребителя с root права под auth-socket и за Percona Server. Нека дадем пример с Percona Server for MySQL 8.0.16-7 и Ubuntu 16.04:

root@app:~# whoami
root
root@app:~# mysql
Добре дошли в MySQL монитора. Командите завършват с ; или g.
Вашият MySQL идентификационен номер е 9
Версия на сървъра: 8.0.16-7 Percona Server (GPL), Release '7', Revision '613e312'

Авторски права (c) 2009-2019 Percona LLC и/или нейните филиали
Авторски права (c) 2000, 2019, Oracle и/или нейните филиали. Всички права запазени.
Oracle е регистрирана търговска марка на Oracle Corporation и/или нейните филиали. Други имена могат да бъдат търговски марки на съответните им собственици.

Напишете 'help;' или 'h' за помощ. Напишете 'c', за да изчистите текущото входно изявление.

mysql> select user, host, plugin, authentication_string from mysql.user where user ='root';
+------+-----------+-------------+-----------------------+
| user | host      | plugin | authentication_string |
+------+-----------+-------------+-----------------------+
| root | localhost | auth_socket |                       |
+------+-----------+-------------+-----------------------+
1 ред в комплекта (0.00 сек)

Но в какво е магията? Плагинът проверява дали потребителят в Linux отговаря на потребителя MySQL, използвайки опцията за сокет SO_PEERCRED - за да събере информация за потребителя, който стартира клиентската програма. Така плагинът може да се използва само на системи, поддържащи опцията SO_PEERCRED, като например Linux. Опцията за сокет SO_PEERCRED позволява да се узнава uid, свързан с сокета на процеса. А след това той вече получава свързаното с този uid име на потребителя.

Нека вземем пример с потребителя „vagrant“:

vagrant@mysql1:~$ whoami
vagrant
vagrant@mysql1:~$ mysql
ГРЕШКА 1698 (28000): Достъпът е забранен за потребителя 'vagrant'@'localhost'

Тъй като в MySQL няма потребител „vagrant“, достъпът ни е отказан. Нека създадем такъв потребител и да опитаме отново:

MariaDB [(none)]> GRANT ALL PRIVILEGES ON *.* TO 'vagrant'@'localhost' IDENTIFIED VIA unix_socket;
Запитването успешно, 0 реда засегнати (0.00 сек)

vagrant@mysql1:~$ mysql
Добре дошли в MariaDB монитора. Командите завършват с ; или g.
Вашият MariaDB идентификационен номер е 45
Версия на сървъра: 10.0.38-MariaDB-0ubuntu0.16.04.1 Ubuntu 16.04
Авторски права (c) 2000, 2018, Oracle, MariaDB Corporation Ab и други.
Напишете 'help;' или 'h' за помощ. Напишете 'c', за да изчистите текущото входно изявление.

MariaDB [(none)]> show grants;
+---------------------------------------------------------------------------------+
| Grants for vagrant@localhost                                                  |
+---------------------------------------------------------------------------------+
| GRANT ALL PRIVILEGES ON *.* TO 'vagrant'@'localhost' IDENTIFIED VIA unix_socket |
+---------------------------------------------------------------------------------+
1 ред в комплекта (0.00 сек)

Успя!

А какво ще кажете за не-Debian дистрибуции, където това не е предвидено по подразбиране? Нека опитаме Percona Server for MySQL 8, инсталиран на CentOS 7:

mysql> show variables like '%version%comment';
+-----------------+---------------------------------------------------+
| Variable_name   | Value                                             |
+-----------------+---------------------------------------------------+
| version_comment | Percona Server (GPL), Release 7, Revision 613e312 |
+-----------------+---------------------------------------------------+
1 ред в комплекта (0.01 сек)

mysql> CREATE USER 'percona'@'localhost' IDENTIFIED WITH auth_socket;
ГРЕШКА 1524 (HY000): Плагинът 'auth_socket' не е зареден

Провал. Какво не достигна? Плъгинът не е зареден:

mysql> pager grep socket
PAGER зададено на 'grep socket'
mysql> show plugins;
47 реда в набора (0.00 сек)

Да добавим плъгин в процеса:

mysql> nopager
PAGER зададено на stdout
mysql> INSTALL PLUGIN auth_socket SONAME 'auth_socket.so';
Запитване успешно, 0 реда повлияни (0.00 сек)

mysql> pager grep socket; show plugins;
PAGER зададено на 'grep socket'
| auth_socket                      | АКТИВЕН | АУТЕНТИКАЦИЯ | auth_socket.so | GPL     |
48 реда в набора (0.00 сек)

Сега имаме всичко необходимо. Да опитаме отново:

mysql> CREATE USER 'percona'@'localhost' IDENTIFIED WITH auth_socket;
Запитване успешно, 0 реда повлияни (0.01 сек)
mysql> GRANT ALL PRIVILEGES ON *.* TO 'percona'@'localhost';
Запитване успешно, 0 реда повлияни (0.01 сек)

Сега можете да влезете в системата с логин «percona».

[percona@ip-192-168-1-111 ~]$ whoami
percona
[percona@ip-192-168-1-111 ~]$ mysql -upercona
Добре дошли в MySQL монитора. Командите завършват с ; или g.
Вашият идентификатор на MySQL връзка е 19
Версия на сървъра: 8.0.16-7 Percona Server (GPL), Release 7, Revision 613e312

Авторските права (c) 2009-2019 Percona LLC и/или неговитеaffiliate
Авторските права (c) 2000, 2019, Oracle и/или неговитеaffiliate. Всички права запазени.

Oracle е регистрирана търговска марка на Oracle Corporation и/или неговите
affiliate. Други имена могат да са търговски марки на техните уважавани
собственици.

Напишете 'help;' или 'h' за помощ. Напишете 'c', за да изчистите текущото входно изявление.

mysql> select user, host, plugin, authentication_string from mysql.user where user ='percona';
+---------+-----------+-------------+-----------------------+
| user    | host   | plugin   | authentication_string |
+---------+-----------+-------------+-----------------------+
| percona | localhost | auth_socket |                       |
+---------+-----------+-------------+-----------------------+
1 ред в набора (0.00 сек)

И отново стана!

Въпрос: Ще може ли да се влезе в системата с същия логин percona, но от друг потребител?

[percona@ip-192-168-1-111 ~]$ logout
[root@ip-192-168-1-111 ~]# mysql -upercona
ГРЕШКА 1698 (28000): Достъпът е отказан за потребител 'percona'@'localhost'

Не, няма да стане.

Извод

MySQL е доста гъвкава в няколко аспекта, един от които е методът на аутентификация. Както можете да видите от този пост, достъп може да се получи без пароли, на базата на потребителите на ОС. Това може да бъде полезно при определени сценарии, а един от тях — когато мигрирате от RDS/Aurora към обикновен MySQL, използвайки аутентификацията на базата данни IAM, за да получите достъп, но без пароли.

Източник: habr.com