Říká se, že nejlepší heslo je to, které si nemusíte pamatovat. V případě MySQL je to možné díky pluginu a jeho verzi pro MariaDB — .
Oba tyto pluginy nejsou novinkou, již se o nich mnohokrát psalo v tomto blogu, například v článku o tom, . Přesto při zkoumání novinek v MariaDB 10.4 jsem zjistil, že unix_socket je nyní standardně nastaven a je jednou z metod autentizace („jednou z“, protože v MariaDB 10.4 má jeden uživatel k dispozici více než jeden plugin pro autentizaci, což je objasněno v dokumentu ).
Jak jsem již zmínil, to nejsou novinky, a když nainstalujete MySQL pomocí balíčků .deb podporovaných týmem Debian, uživatel s právy root je vytvářen pro autentizaci přes socket. To platí jak pro MySQL, tak pro MariaDB.
root@app:~# apt-cache show mysql-server-5.7 | grep -i maintainers
Původní udržovatel: Debian MySQL Maintainers <pkg-mysql-maint@lists.alioth.debian.org>
Původní udržovatel: Debian MySQL Maintainers <<a href="mailto:pkg-mysql-maint@lists.alioth.debian.org">pkg-mysql-maint@lists.alioth.debian.org</a>>S balíčky Debian pro MySQL je uživatel root autentizován následujícím způsobem:
root@app:~# whoami
root=
root@app:~# mysql
Vítejte v MySQL monitoru. Příkazy končí ; nebo g.
ID vaší MySQL připojení je 4
Verze serveru: 5.7.27-0ubuntu0.16.04.1 (Ubuntu)
Copyright (c) 2000, 2019, Oracle a/nebo jeho přidružené společnosti. Všechna práva vyhrazena.
Oracle je registrovaná ochranná známka společnosti Oracle Corporation a/nebo jejích
přidružených společností. Další názvy mohou být ochrannými známkami jejich příslušných
vlastníků.
Napište 'help;' nebo 'h' pro pomoc. Napište 'c' pro vymazání aktuálního vstupu.
mysql> select user, host, plugin, authentication_string from mysql.user where user = 'root';
+------+-----------+-------------+-----------------------+
| user | host | plugin | authentication_string |
+------+-----------+-------------+-----------------------+
| root | localhost | auth_socket | |
+------+-----------+-------------+-----------------------+
1 řádek v setu (0.01 sec)To samé platí v případě balíčku .deb pro MariaDB:
10.0.38-MariaDB-0ubuntu0.16.04.1 Ubuntu 16.04
MariaDB [(none)]> show grants;
+------------------------------------------------------------------------------------------------+
| Grants for root@localhost |
+------------------------------------------------------------------------------------------------+
| GRANT ALL PRIVILEGES ON *.* TO 'root'@'localhost' IDENTIFIED VIA unix_socket WITH GRANT OPTION |
| GRANT PROXY ON ''@'%' TO 'root'@'localhost' WITH GRANT OPTION |
+------------------------------------------------------------------------------------------------+
2 řádky v setu (0.00 sec)Balíčky .deb z oficiálního repozitáře Percona také nastavují autentizaci uživatele s právy root na auth-socket pro Percona Server. Uvedeme příklad s a Ubuntu 16.04:
root@app:~# whoami
root
root@app:~# mysql
Vítejte v MySQL monitoru. Příkazy končí ; nebo g.
Vaše ID připojení MySQL je 9
Verze serveru: 8.0.16-7 Percona Server (GPL), Vydání '7', Revize '613e312'
Copyright (c) 2009-2019 Percona LLC a/nebo její přidružené společnosti
Copyright (c) 2000, 2019, Oracle a/nebo její přidružené společnosti. Všechna práva vyhrazena.
Oracle je registrovaná ochranná známka Oracle Corporation a/nebo jejích
přidružených společností. Další názvy mohou být ochrannými známkami jejich příslušných
vlastníků.
Zadejte 'help;' nebo 'h' pro pomoc. Zadejte 'c' pro vymazání aktuálního vstupní prohlášení.
mysql> select user, host, plugin, authentication_string from mysql.user where user ='root';
+------+-----------+-------------+-----------------------+
| user | host | plugin | authentication_string |
+------+-----------+-------------+-----------------------+
| root | localhost | auth_socket | |
+------+-----------+-------------+-----------------------+
1 řádek v sadě (0.00 sek)Jaká je tedy magická podstata? Plugin kontroluje, zda uživatel Linux odpovídá uživateli MySQL, pomocí socketové možnosti SO_PEERCRED — aby shromáždil informace o uživateli, který spouští klientský program. Plugin je tedy možné použít pouze na systémech, které podporují možnost SO_PEERCRED, jako je například Linux. Socketová možnost SO_PEERCRED umožňuje zjistit uid související se socketem procesu. A poté již získá související s tímto uid jméno uživatele.
Uveďme příklad s uživatelským účtem „vagrant“:
vagrant@mysql1:~$ whoami
vagrant
vagrant@mysql1:~$ mysql
ERROR 1698 (28000): Přístup odepřen pro uživatele 'vagrant'@'localhost'Jelikož v MySQL neexistuje uživatel „vagrant“, byl nám přístup odepřen. Vytvoříme takového uživatele a opakujeme pokus:
MariaDB [(none)]> GRANT ALL PRIVILEGES ON *.* TO 'vagrant'@'localhost' IDENTIFIED VIA unix_socket;
Dotaz OK, 0 řádků ovlivněno (0.00 sek)
vagrant@mysql1:~$ mysql
Vítejte v MariaDB monitoru. Příkazy končí ; nebo g.
Vaše ID připojení MariaDB je 45
Verze serveru: 10.0.38-MariaDB-0ubuntu0.16.04.1 Ubuntu 16.04
Copyright (c) 2000, 2018, Oracle, MariaDB Corporation Ab a další.
Zadejte 'help;' nebo 'h' pro pomoc. Zadejte 'c' pro vymazání aktuálního vstupní prohlášení.
MariaDB [(none)]> show grants;
+---------------------------------------------------------------------------------+
| Grants for vagrant@localhost |
+---------------------------------------------------------------------------------+
| GRANT ALL PRIVILEGES ON *.* TO 'vagrant'@'localhost' IDENTIFIED VIA unix_socket |
+---------------------------------------------------------------------------------+
1 řádek v sadě (0.00 sek)Uspělo to!
A co uživatelský účet na nedebianovém distribuci, kde to není implicitně povoleno? Zkusíme Percona Server for MySQL 8, nainstalovaný na CentOS 7:
mysql> show variables like '%version%comment';
+-----------------+---------------------------------------------------+
| Variable_name | Value |
+-----------------+---------------------------------------------------+
| version_comment | Percona Server (GPL), Release 7, Revize 613e312 |
+-----------------+---------------------------------------------------+
1 řádek v sadě (0.01 sek)
mysql> CREATE USER 'percona'@'localhost' IDENTIFIED WITH auth_socket;
ERROR 1524 (HY000): Plugin 'auth_socket' není nahránChyba. Co chybělo? Plugin nebyl načten:
mysql> pager grep socket
PAGER nastaven na 'grep socket'
mysql> show plugins;
47 řádků v sadě (0.00 sek)Přidáme plugin do procesu:
mysql> nopager
PAGER nastaven na stdout
mysql> INSTALL PLUGIN auth_socket SONAME 'auth_socket.so';
Dotaz OK, 0 řádků ovlivněno (0.00 sek)
mysql> pager grep socket; show plugins;
PAGER nastaven na 'grep socket'
| auth_socket | AKTIVNÍ | AUTORIZACE | auth_socket.so | GPL |
48 řádků v sadě (0.00 sek)Nyní máme vše, co potřebujeme. Zkusíme to znovu:
mysql> CREATE USER 'percona'@'localhost' IDENTIFIED WITH auth_socket;
Dotaz OK, 0 řádků ovlivněno (0.01 sek)
mysql> GRANT ALL PRIVILEGES ON *.* TO 'percona'@'localhost';
Dotaz OK, 0 řádků ovlivněno (0.01 sek)Nyní se můžete přihlásit jako uživatel 'percona'.
[percona@ip-192-168-1-111 ~]$ whoami
percona
[percona@ip-192-168-1-111 ~]$ mysql -upercona
Vítejte v MySQL monitoru. Příkazy končí ; nebo g.
Vaše ID připojení MySQL je 19
Verze serveru: 8.0.16-7 Percona Server (GPL), Vydání 7, Revize 613e312
Copyright (c) 2009-2019 Percona LLC a/nebo její přidružené společnosti
Copyright (c) 2000, 2019, Oracle a/nebo její přidružené společnosti. Všechna práva vyhrazena.
Oracle je registrovaná ochranná známka Oracle Corporation a/nebo jejích
přidružených společností. Jiné názvy mohou být ochranné známky jejich příslušných
majitelů.
Napište 'help;' nebo 'h' pro pomoc. Napište 'c' pro vymazání aktuálního vstupního příkazu.
mysql> select user, host, plugin, authentication_string from mysql.user where user ='percona';
+---------+-----------+-------------+-----------------------+
| user | host | plugin | authentication_string |
+---------+-----------+-------------+-----------------------+
| percona | localhost | auth_socket | |
+---------+-----------+-------------+-----------------------+
1 řádek v sadě (0.00 sek)A znovu se to povedlo!
Otázka: Bude možné přihlásit se se stejným uživatelským jménem percona, ale od jiného uživatele?
[percona@ip-192-168-1-111 ~]$ logout
[root@ip-192-168-1-111 ~]# mysql -upercona
ERROR 1698 (28000): Přístup odepřen pro uživatele 'percona'@'localhost'Ne, nepodaří se.
Výstup
MySQL je dost flexibilní v několika aspektech, jedním z nich je metoda autentizace. Jak je vidět z tohoto příspěvku, přístup lze získat bez hesel, na základě uživatelů OS. To může být užitečné v určitých scénářích, jedním z nich je, když migrujete z RDS/Aurora na běžnou MySQL, využívající , abyste mohli i nadále získávat přístup, ale bez hesel.
Zdroj: habr.com
