MySQL/Encrypted Connection

客户端可以与MySQL服务器加密连接，也可以非加密连接。这是采用了SSL（Secure Socket Layer：安全套接字层），利用数据加密、身份验证和消息完整性验证机制，为基于TCP等可靠连接的应用层协议提供安全性保证。

服务器Data目录下的SSL相关文件

• ca-key.pem #CA私钥
• ca.pem #自签的CA证书，客户端连接也需要提供
• client-cert.pem #客户端连接服务器端需要提供的证书文件（因为安装一套服务器的bin目录总是带着一套client工具）
• client-key.pem #客户端连接服务器端需要提供的私钥文件
• private_key.pem #私钥/公钥对的私有成员
• public_key.pem #私钥/公钥对的共有成员
• server-cert.pem #服务器端证书公钥文件
• server-key.pem #服务器端证书私钥文件

在服务器中查看是否开启了SSL连接

root登录后：

mysql>show global variables like '%ssl%';

查看用户是否用SSL连接

mysql>\s
...
SSL: Cipher in use is DHE-RSA-AES128-GCM-SHA256
...

强制指定用户必须使用SSL连接数据库

#修改已存在用户 
ALTER USER 'dba'@'%' REQUIRE SSL;
#新建必须使用SSL用户
grant select on *.* to UserName@'%' identified by 'xxx' REQUIRE SSL;

服务器启动时的相关参数

启动时关闭SSL：

mysqld --console --skip-ssl

或使用配置文件，即在 my.cnf 文件中添加如下内容： [mysqld]

实际上，如果服务器软件在默认的data文件夹发现了有效的certificate与key 文件ca.pem、server-cert.pem、server-key.pem，就会支持客户端加密连接，否则就不支持客户端加密连接。

客户端登录时的SSL参数

对于非强制SSL连接的数据库用户，登录时会先尝试SSL，失败后再尝试非加密连接。

客户端关闭SSL的登陆： mysql -h localhost -u root -p --ssl-mode=DISABLED

客户端开启SSL登陆，需要拷贝 ca-cert.pem到本地。执行：

mysql -uroot -hlocalhost -pzdh1234 --ssl-ca=/home/mysql/sslconfig/ca.pem

或使用配置文件，即在 my.cnf 文件中添加如下内容:

[client] 
ssl-ca=/home/mysql/sslconfig/ca.pem