ວິທີການໃຊ້ MySQL ໂດຍບໍ່ມີລະຫັດຜ່ານ (ແລະຄວາມສ່ຽງດ້ານຄວາມປອດໄພ)

ພວກເຂົາເວົ້າວ່າລະຫັດຜ່ານທີ່ດີທີ່ສຸດແມ່ນລະຫັດທີ່ທ່ານບໍ່ຈໍາເປັນຕ້ອງຈື່. ໃນກໍລະນີຂອງ MySQL ນີ້ແມ່ນເປັນໄປໄດ້ຍ້ອນ plugin auth_socket ແລະສະບັບຂອງຕົນສໍາລັບ MariaDB - unix_socket.

ທັງສອງ plugins ເຫຼົ່ານີ້ແມ່ນບໍ່ໃຫມ່ເລີຍ, ພວກເຂົາເຈົ້າໄດ້ຖືກປຶກສາຫາລືຫຼາຍໃນ blog ນີ້, ສໍາລັບການຍົກຕົວຢ່າງໃນບົດຄວາມກ່ຽວກັບ. ວິທີການປ່ຽນລະຫັດຜ່ານໃນ MySQL 5.7 ໂດຍໃຊ້ plugin auth_socket. ຢ່າງໃດກໍຕາມ, ໃນຂະນະທີ່ຊອກຫາສິ່ງໃຫມ່ໃນ MariaDB 10.4, ຂ້າພະເຈົ້າໄດ້ຄົ້ນພົບວ່າ unix_socket ໃນປັດຈຸບັນໄດ້ຖືກຕິດຕັ້ງໂດຍຄ່າເລີ່ມຕົ້ນແລະເປັນຫນຶ່ງໃນວິທີການກວດສອບຄວາມຖືກຕ້ອງ ("ຫນຶ່ງໃນ", ເພາະວ່າໃນ MariaDB 10.4 ມີຫຼາຍກວ່າຫນຶ່ງ plugin ທີ່ມີຢູ່ສໍາລັບຜູ້ໃຊ້ຫນຶ່ງສໍາລັບການພິສູດຢືນຢັນ, ເຊິ່ງ. ຖືກອະທິບາຍໄວ້ໃນເອກະສານ "ການພິສູດຢືນຢັນ" ຈາກ MariaDB 10.04).

ດັ່ງທີ່ຂ້ອຍເວົ້າ, ນີ້ບໍ່ແມ່ນຂ່າວ, ແລະເມື່ອຕິດຕັ້ງ MySQL ໂດຍໃຊ້ແພັກເກັດ .deb ທີ່ສະຫນັບສະຫນູນໂດຍທີມງານ Debian, ຜູ້ໃຊ້ຮາກແມ່ນຖືກສ້າງຂຶ້ນເພື່ອການກວດສອບຄວາມຖືກຕ້ອງຂອງເຕົ້າສຽບ. ນີ້ແມ່ນຄວາມຈິງສໍາລັບທັງ MySQL ແລະ MariaDB.

root@app:~# apt-cache show mysql-server-5.7 | grep -i maintainers
Original-Maintainer: Debian MySQL Maintainers <[email protected]>
Original-Maintainer: Debian MySQL Maintainers <<a href="mailto:[email protected]">[email protected]</a>>

ດ້ວຍແພັກເກັດ Debian ສໍາລັບ MySQL, ຜູ້ໃຊ້ຮາກແມ່ນໄດ້ຮັບການຢັ້ງຢືນດັ່ງຕໍ່ໄປນີ້:

root@app:~# whoami
root=
root@app:~# mysql
Welcome to the MySQL monitor.  Commands end with ; or g.
Your MySQL connection id is 4
Server version: 5.7.27-0ubuntu0.16.04.1 (Ubuntu)

Copyright (c) 2000, 2019, Oracle and/or its affiliates. All rights reserved.
Oracle is a registered trademark of Oracle Corporation and/or its
affiliates. Other names may be trademarks of their respective
owners.

Type 'help;' or 'h' for help. Type 'c' to clear the current input statement.

mysql> select user, host, plugin, authentication_string from mysql.user where user = 'root';
+------+-----------+-------------+-----------------------+
| user | host      | plugin | authentication_string |
+------+-----------+-------------+-----------------------+
| root | localhost | auth_socket |                       |
+------+-----------+-------------+-----------------------+
1 row in set (0.01 sec)

ກໍລະນີດຽວກັນກັບຊຸດ .deb ສໍາລັບ MariaDB:

10.0.38-MariaDB-0ubuntu0.16.04.1 Ubuntu 16.04

MariaDB [(none)]> show grants;
+------------------------------------------------------------------------------------------------+
| Grants for root@localhost                                                                      |
+------------------------------------------------------------------------------------------------+
| GRANT ALL PRIVILEGES ON *.* TO 'root'@'localhost' IDENTIFIED VIA unix_socket WITH GRANT OPTION |
| GRANT PROXY ON ''@'%' TO 'root'@'localhost' WITH GRANT OPTION                                  |
+------------------------------------------------------------------------------------------------+
2 rows in set (0.00 sec)

ແພັກເກັດ .deb ຈາກບ່ອນເກັບມ້ຽນ Percona ທີ່ເປັນທາງການຍັງກຳນົດຄ່າການພິສູດຢືນຢັນຜູ້ໃຊ້ຮາກພາຍໃຕ້ auth-socket ແລະສຳລັບເຊີບເວີ Percona. ໃຫ້ຂອງຕົວຢ່າງທີ່ມີ ເຊີບເວີ Percona ສໍາລັບ MySQL 8.0.16-7 ແລະ Ubuntu 16.04:

root@app:~# whoami
root
root@app:~# mysql
Welcome to the MySQL monitor.  Commands end with ; or g.
Your MySQL connection id is 9
Server version: 8.0.16-7 Percona Server (GPL), Release '7', Revision '613e312'

Copyright (c) 2009-2019 Percona LLC and/or its affiliates
Copyright (c) 2000, 2019, Oracle and/or its affiliates. All rights reserved.
Oracle is a registered trademark of Oracle Corporation and/or its
affiliates. Other names may be trademarks of their respective
owners.

Type 'help;' or 'h' for help. Type 'c' to clear the current input statement.

mysql> select user, host, plugin, authentication_string from mysql.user where user ='root';
+------+-----------+-------------+-----------------------+
| user | host      | plugin | authentication_string |
+------+-----------+-------------+-----------------------+
| root | localhost | auth_socket |                       |
+------+-----------+-------------+-----------------------+
1 row in set (0.00 sec)

ດັ່ງນັ້ນສິ່ງທີ່ເປັນ magic? ປັ໊ກອິນຈະກວດເບິ່ງວ່າຜູ້ໃຊ້ Linux ກົງກັບຜູ້ໃຊ້ MySQL ໂດຍໃຊ້ຕົວເລືອກຊັອກເກັດ SO_PEERCRED ເພື່ອເກັບກໍາຂໍ້ມູນກ່ຽວກັບຜູ້ໃຊ້ທີ່ດໍາເນີນໂຄງການລູກຄ້າ. ດັ່ງນັ້ນ, plugin ສາມາດໃຊ້ໃນລະບົບທີ່ຮອງຮັບທາງເລືອກ SO_PEERCRED ເຊັ່ນ Linux ເທົ່ານັ້ນ. ຕົວເລືອກຊັອກເກັດ SO_PEERCRED ຊ່ວຍໃຫ້ທ່ານສາມາດຊອກຫາຂໍ້ມູນຂອງຂະບວນການທີ່ກ່ຽວຂ້ອງກັບເຕົ້າຮັບໄດ້. ແລະຫຼັງຈາກນັ້ນລາວໄດ້ຮັບຊື່ຜູ້ໃຊ້ທີ່ກ່ຽວຂ້ອງກັບ uid ນີ້ແລ້ວ.

ນີ້ແມ່ນຕົວຢ່າງກັບຜູ້ໃຊ້ "vagrant":

vagrant@mysql1:~$ whoami
vagrant
vagrant@mysql1:~$ mysql
ERROR 1698 (28000): Access denied for user 'vagrant'@'localhost'

ເນື່ອງຈາກບໍ່ມີຜູ້ໃຊ້ "vagrant" ໃນ MySQL, ພວກເຮົາຖືກປະຕິເສດການເຂົ້າເຖິງ. ມາສ້າງຜູ້ໃຊ້ດັ່ງກ່າວແລ້ວລອງອີກຄັ້ງ:

MariaDB [(none)]> GRANT ALL PRIVILEGES ON *.* TO 'vagrant'@'localhost' IDENTIFIED VIA unix_socket;
Query OK, 0 rows affected (0.00 sec)

vagrant@mysql1:~$ mysql
Welcome to the MariaDB monitor.  Commands end with ; or g.
Your MariaDB connection id is 45
Server version: 10.0.38-MariaDB-0ubuntu0.16.04.1 Ubuntu 16.04
Copyright (c) 2000, 2018, Oracle, MariaDB Corporation Ab and others.
Type 'help;' or 'h' for help. Type 'c' to clear the current input statement.

MariaDB [(none)]> show grants;
+---------------------------------------------------------------------------------+
| Grants for vagrant@localhost                                                    |
+---------------------------------------------------------------------------------+
| GRANT ALL PRIVILEGES ON *.* TO 'vagrant'@'localhost' IDENTIFIED VIA unix_socket |
+---------------------------------------------------------------------------------+
1 row in set (0.00 sec)

ເກີດຂຶ້ນ!

ແລ້ວ, ແມ່ນຫຍັງກ່ຽວກັບການແຈກຢາຍທີ່ບໍ່ແມ່ນ Debian ທີ່ມັນບໍ່ໄດ້ຖືກສະຫນອງໃຫ້ໂດຍຄ່າເລີ່ມຕົ້ນ? ລອງໃຊ້ Percona Server ສໍາລັບ MySQL 8 ທີ່ຕິດຕັ້ງຢູ່ໃນ CentOS 7:

mysql> show variables like '%version%comment';
+-----------------+---------------------------------------------------+
| Variable_name   | Value                                   |
+-----------------+---------------------------------------------------+
| version_comment | Percona Server (GPL), Release 7, Revision 613e312 |
+-----------------+---------------------------------------------------+
1 row in set (0.01 sec)

mysql> CREATE USER 'percona'@'localhost' IDENTIFIED WITH auth_socket;
ERROR 1524 (HY000): Plugin 'auth_socket' is not loaded

ຂີ້ຄ້ານ. ຂາດຫຍັງ? ບໍ່ໄດ້ໂຫຼດປລັກອິນ:

mysql> pager grep socket
PAGER set to 'grep socket'
mysql> show plugins;
47 rows in set (0.00 sec)

ໃຫ້ເພີ່ມ plugin ເຂົ້າໃນຂະບວນການ:

mysql> nopager
PAGER set to stdout
mysql> INSTALL PLUGIN auth_socket SONAME 'auth_socket.so';
Query OK, 0 rows affected (0.00 sec)

mysql> pager grep socket; show plugins;
PAGER set to 'grep socket'
| auth_socket                     | ACTIVE | AUTHENTICATION | auth_socket.so | GPL     |
48 rows in set (0.00 sec)

ໃນປັດຈຸບັນພວກເຮົາມີທຸກສິ່ງທຸກຢ່າງທີ່ພວກເຮົາຕ້ອງການ. ລອງອີກຄັ້ງ:

mysql> CREATE USER 'percona'@'localhost' IDENTIFIED WITH auth_socket;
Query OK, 0 rows affected (0.01 sec)
mysql> GRANT ALL PRIVILEGES ON *.* TO 'percona'@'localhost';
Query OK, 0 rows affected (0.01 sec)

ໃນປັດຈຸບັນທ່ານສາມາດເຂົ້າສູ່ລະບົບໂດຍໃຊ້ຊື່ຜູ້ໃຊ້ "percona".

[percona@ip-192-168-1-111 ~]$ whoami
percona
[percona@ip-192-168-1-111 ~]$ mysql -upercona
Welcome to the MySQL monitor.  Commands end with ; or g.
Your MySQL connection id is 19
Server version: 8.0.16-7 Percona Server (GPL), Release 7, Revision 613e312

Copyright (c) 2009-2019 Percona LLC and/or its affiliates
Copyright (c) 2000, 2019, Oracle and/or its affiliates. All rights reserved.

Oracle is a registered trademark of Oracle Corporation and/or its
affiliates. Other names may be trademarks of their respective
owners.

Type 'help;' or 'h' for help. Type 'c' to clear the current input statement.

mysql> select user, host, plugin, authentication_string from mysql.user where user ='percona';
+---------+-----------+-------------+-----------------------+
| user    | host   | plugin   | authentication_string |
+---------+-----------+-------------+-----------------------+
| percona | localhost | auth_socket |                       |
+---------+-----------+-------------+-----------------------+
1 row in set (0.00 sec)

ແລະມັນເຮັດວຽກອີກເທື່ອຫນຶ່ງ!

ຄໍາຖາມ: ມັນເປັນໄປໄດ້ທີ່ຈະເຂົ້າສູ່ລະບົບພາຍໃຕ້ການເຂົ້າສູ່ລະບົບ percona ດຽວກັນ, ແຕ່ເປັນຜູ້ໃຊ້ທີ່ແຕກຕ່າງກັນບໍ?

[percona@ip-192-168-1-111 ~]$ logout
[root@ip-192-168-1-111 ~]# mysql -upercona
ERROR 1698 (28000): Access denied for user 'percona'@'localhost'

ບໍ່, ມັນຈະບໍ່ເຮັດວຽກ.

ສະຫລຸບ

MySQL ແມ່ນຂ້ອນຂ້າງມີຄວາມຍືດຫຍຸ່ນໃນຫຼາຍດ້ານ, ຫນຶ່ງໃນນັ້ນແມ່ນວິທີການກວດສອບຄວາມຖືກຕ້ອງ. ດັ່ງທີ່ເຈົ້າສາມາດເຫັນໄດ້ຈາກໂພສນີ້, ການເຂົ້າເຖິງສາມາດໄດ້ຮັບໂດຍບໍ່ມີລະຫັດຜ່ານ, ອີງຕາມຜູ້ໃຊ້ OS. ນີ້ສາມາດເປັນປະໂຫຍດໃນບາງສະຖານະການ, ແລະຫນຶ່ງໃນນັ້ນແມ່ນໃນເວລາທີ່ການເຄື່ອນຍ້າຍຈາກ RDS / Aurora ໄປຫາ MySQL ປົກກະຕິໂດຍໃຊ້ ການກວດສອບຖານຂໍ້ມູນ IAMເພື່ອຍັງສາມາດເຂົ້າເຖິງໄດ້, ແຕ່ບໍ່ມີລະຫັດຜ່ານ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com