ການເຂົ້າລະຫັດໃນ MySQL: Master Key Rotation

ໃນຄວາມຄາດຫວັງຂອງການເລີ່ມຕົ້ນຂອງການລົງທະບຽນໃຫມ່ສໍາລັບຫຼັກສູດ "ຖານຂໍ້ມູນ" ພວກເຮົາສືບຕໍ່ເຜີຍແຜ່ຊຸດຂອງບົດຄວາມກ່ຽວກັບການເຂົ້າລະຫັດໃນ MySQL.

ໃນບົດຄວາມທີ່ຜ່ານມາໃນຊຸດນີ້, ພວກເຮົາໄດ້ປຶກສາຫາລື ການເຂົ້າລະຫັດຫຼັກເຮັດວຽກແນວໃດ. ມື້ນີ້, ອີງຕາມຄວາມຮູ້ທີ່ໄດ້ຮັບກ່ອນຫນ້ານີ້, ໃຫ້ພວກເຮົາເບິ່ງການຫມຸນຂອງກະແຈຕົ້ນຕໍ.

ການຫມຸນລະຫັດຫຼັກກ່ຽວຂ້ອງກັບການສ້າງລະຫັດຫຼັກໃຫມ່ແລະການເຂົ້າລະຫັດໃຫມ່ຂອງກະແຈຕາຕະລາງ (ເຊິ່ງຖືກເກັບໄວ້ໃນສ່ວນຫົວຕາຕະລາງ) ດ້ວຍລະຫັດໃຫມ່ນີ້.

ຂໍໃຫ້ຈື່ໄວ້ວ່າສ່ວນຫົວຂອງຕາຕະລາງທີ່ເຂົ້າລະຫັດໄວ້ເບິ່ງຄືແນວໃດ:

ຈາກບົດຄວາມທີ່ຜ່ານມາ, ພວກເຮົາຮູ້ວ່າເຊີບເວີອ່ານສ່ວນຫົວຂອງຕາຕະລາງທີ່ຖືກເຂົ້າລະຫັດທັງຫມົດໃນຕອນເລີ່ມຕົ້ນແລະຈື່ຈໍາ ID ທີ່ໃຫຍ່ທີ່ສຸດ. ຕົວຢ່າງຖ້າພວກເຮົາມີສາມຕາຕະລາງທີ່ມີ KEYID = 3 ແລະຕາຕະລາງຫນຶ່ງທີ່ມີ KEYID = 4, ຫຼັງຈາກນັ້ນ ID ລະຫັດສູງສຸດຈະເປັນ 4. ໃຫ້ໂທຫາລະຫັດນີ້ - MAX KEY ID.

ວິທີການຫມຸນລະຫັດຫຼັກເຮັດວຽກແນວໃດ

1. ຜູ້ໃຊ້ປະຕິບັດ ALTER INNODB MASTER KEY.

2. ເຊີບເວີຮ້ອງຂໍການໃສ່ກະແຈເພື່ອສ້າງລະຫັດຫຼັກໃໝ່ກັບເຊີບເວີ UUID ແລະ KEYID ເທົ່າກັບໜຶ່ງບວກ MAXKEYID. ດັ່ງນັ້ນພວກເຮົາໄດ້ຮັບ master key id ເທົ່າກັບ INNODBຄີ-UUID-(MAXKEYID + 1). ເມື່ອສ້າງລະຫັດຫຼັກສຳເລັດແລ້ວ, MAX KEY ID ຈະຖືກເພີ່ມຂຶ້ນໂດຍໜຶ່ງ (ເຊັ່ນ: MAX.KEYID=MAXKEYID + 1).

3. ເຊີບເວີສະແກນພື້ນທີ່ຕາຕະລາງທັງໝົດທີ່ເຂົ້າລະຫັດໄວ້ດ້ວຍລະຫັດຫຼັກ, ແລະສຳລັບແຕ່ລະພື້ນທີ່ຕາຕະລາງ:

• encrypts ກະແຈ tablespace ດ້ວຍ master key ໃຫມ່;

• ອັບເດດລະຫັດລະຫັດເປັນ MAX ໃໝ່KEYID;

• ຖ້າ UUID ແຕກຕ່າງຈາກ UUID ເຊີບເວີ, ຫຼັງຈາກນັ້ນໃຫ້ອັບເດດເຊີບເວີ UUID.

ດັ່ງທີ່ພວກເຮົາຮູ້, Master Key ID ທີ່ໃຊ້ໃນການຖອດລະຫັດຕາຕະລາງປະກອບດ້ວຍ UUID ແລະລະຫັດລະຫັດທີ່ອ່ານຈາກສ່ວນຫົວຂອງຕາຕະລາງ. ສິ່ງທີ່ພວກເຮົາກໍາລັງເຮັດໃນປັດຈຸບັນແມ່ນການປັບປຸງຂໍ້ມູນນີ້ຢູ່ໃນສ່ວນຫົວການເຂົ້າລະຫັດຕາຕະລາງເພື່ອໃຫ້ເຄື່ອງແມ່ຂ່າຍໄດ້ຮັບລະຫັດຫຼັກທີ່ຖືກຕ້ອງ.

ຖ້າພວກເຮົາມີພື້ນທີ່ຕາຕະລາງຈາກສະຖານທີ່ທີ່ແຕກຕ່າງກັນ, ເຊັ່ນການສໍາຮອງຂໍ້ມູນທີ່ແຕກຕ່າງກັນ, ຫຼັງຈາກນັ້ນພວກເຂົາອາດຈະໃຊ້ລະຫັດຫຼັກທີ່ແຕກຕ່າງກັນ. ລະຫັດຫຼັກທັງໝົດເຫຼົ່ານີ້ຈະຕ້ອງຖືກດຶງມາຈາກບ່ອນເກັບມ້ຽນເມື່ອເຊີບເວີເລີ່ມຕົ້ນ. ອັນນີ້ສາມາດເຮັດໃຫ້ການເລີ່ມຕົ້ນຂອງເຊີບເວີຊ້າລົງ, ໂດຍສະເພາະຖ້າບ່ອນເກັບຄີຂ້າງເຊີບເວີຖືກໃຊ້. ດ້ວຍການໝຸນຂອງລະຫັດຫຼັກ, ພວກເຮົາເຂົ້າລະຫັດລະຫັດຕາຕະລາງຄືນໃໝ່ດ້ວຍລະຫັດຫຼັກອັນດຽວທີ່ຄືກັນສຳລັບທຸກພື້ນທີ່ຕາຕະລາງ. ຕອນນີ້ເຊີບເວີຄວນໄດ້ຮັບລະຫັດຫຼັກອັນດຽວໃນຕອນເລີ່ມຕົ້ນ.

ນີ້, ແນ່ນອນ, ແມ່ນພຽງແຕ່ຜົນຂ້າງຄຽງທີ່ຫນ້າພໍໃຈ. ຈຸດປະສົງຕົ້ນຕໍຂອງການຫມຸນລະຫັດຫຼັກແມ່ນເພື່ອເຮັດໃຫ້ເຄື່ອງແມ່ຂ່າຍຂອງພວກເຮົາມີຄວາມປອດໄພຫຼາຍຂຶ້ນ. ໃນກໍລະນີທີ່ລະຫັດຕົ້ນສະບັບຖືກລັກຈາກຫ້ອງໂຖງ (ຕົວຢ່າງ, ຈາກ Vault Server), ມັນເປັນໄປໄດ້ທີ່ຈະສ້າງລະຫັດຕົ້ນສະບັບໃຫມ່ແລະເຂົ້າລະຫັດໃຫມ່ຂອງກະແຈຕາຕະລາງ, ເຊິ່ງເຮັດໃຫ້ລະຫັດຖືກລັກບໍ່ຖືກຕ້ອງ. ພວກເຮົາປອດໄພ ... ເກືອບ.

ໃນບົດຄວາມທີ່ຜ່ານມາ, ຂ້າພະເຈົ້າໄດ້ເວົ້າກ່ຽວກັບວິທີການເມື່ອກະແຈຕາຕະລາງຖືກລັກ, ພາກສ່ວນທີສາມສາມາດນໍາໃຊ້ມັນເພື່ອຖອດລະຫັດຂໍ້ມູນ. ສະຫນອງໃຫ້ວ່າມີການເຂົ້າເຖິງແຜ່ນຂອງພວກເຮົາ. ຖ້າລະຫັດຫຼັກຖືກລັກ ແລະເຈົ້າມີການເຂົ້າເຖິງຂໍ້ມູນທີ່ເຂົ້າລະຫັດໄວ້, ທ່ານສາມາດໃຊ້ລະຫັດຫຼັກທີ່ຖືກລັກເພື່ອຖອດລະຫັດລະຫັດຕາຕະລາງ ແລະເອົາຂໍ້ມູນທີ່ຖອດລະຫັດໄວ້. ດັ່ງທີ່ທ່ານສາມາດເຫັນໄດ້, ການຫມຸນຂອງລະຫັດຫຼັກບໍ່ໄດ້ຊ່ວຍໃນກໍລະນີນີ້. ພວກ​ເຮົາ​ເຂົ້າ​ລະ​ຫັດ​ກະ​ແຈ tablespace ດ້ວຍ​ລະ​ຫັດ​ແມ່​ບົດ​ໃໝ່, ແຕ່​ກະ​ແຈ​ຕົວ​ຈິງ​ທີ່​ໃຊ້​ເພື່ອ​ເຂົ້າ​ລະ​ຫັດ/ຖອດ​ລະ​ຫັດ​ຂໍ້​ມູນ​ຍັງ​ຄື​ເກົ່າ. ດັ່ງນັ້ນ, "ແຮກເກີ" ສາມາດສືບຕໍ່ໃຊ້ມັນເພື່ອຖອດລະຫັດຂໍ້ມູນ. ກ່ອນ​ໜ້າ​ນີ້​ຂ້າ​ພະ​ເຈົ້າ​ໄດ້​ຊີ້​ແຈງ​ວ່າ ເຊີບເວີ Percona ສໍາລັບ MySQL ສາມາດປະຕິບັດການເຂົ້າລະຫັດຄືນໃຫມ່ຂອງ tablespace ທີ່ແທ້ຈິງ, ບໍ່ພຽງແຕ່ການເຂົ້າລະຫັດລະຫັດ tablespace ງ່າຍດາຍເທົ່ານັ້ນ. ຄຸນສົມບັດນີ້ເອີ້ນວ່າຫົວຂໍ້ການເຂົ້າລະຫັດ. ຢ່າງໃດກໍຕາມ, ຫນ້າທີ່ນີ້ແມ່ນຍັງທົດລອງຢູ່ໃນຂະນະນີ້.

ການໝຸນຂອງລະຫັດຫຼັກແມ່ນເປັນປະໂຫຍດເມື່ອລະຫັດຫຼັກຖືກລັກ, ແຕ່ບໍ່ມີທາງທີ່ຜູ້ໂຈມຕີຈະໃຊ້ມັນ ແລະຖອດລະຫັດປຸ່ມໃນຕາຕະລາງໄດ້.

ລົງທະບຽນສໍາລັບບົດຮຽນການສາທິດຟຣີ.

ອ່ານ​ຕື່ມ:

• ການເຂົ້າລະຫັດໃນ MySQL: Keystore

• ການເຂົ້າລະຫັດໃນ MySQL: ການໃຊ້ Master Key

ແຫຼ່ງຂໍ້ມູນ: www.habr.com