[tomix]

#sql #mysql #ssl #webdev

Szanowne i mądre mirki ( ͡° ͜ʖ ͡°) ponieważ na kryptografii nietrudno się znać lepiej ode mnie to zapytam zanim zrobię głębszy researech w sieci i stocku. Mam MySQL'a, ale Enterprise, jednocześnie obsługuje ok 5k połączeń wysyłających średnio 20 DML'i per minuta na połączenie (sumarycznie mocno obciążony serwer). 99% połączeń jest na jednym userze (jak się domyślacie jakaś appka działa). Teraz trzeba zrobić tak, żeby połączenie zaszyfrować, czyli w konfiguracji bazy włączamy SSL, podajemy ścieżkę do CA, certyfikatu i klucza. I tu pojawiają się moje pytania:

1) jak do kont użytkowników przypisać certyfikat, którym będą się posługiwać, czy to nie tak działa?

2) czy połączenie szyfrowane może być tylko na jednym userze - właśnie tym aplikacyjnym, a reszta użytkowników będzie nieszyfrowana?

3) jak mocno szyfrowanie obciąża komputer kliencki (appka desktopowa), sieć i serwer?

4) czy konfiguracja replikacji wygląda tak samo jak w przypadku połączeń nieszyfrowanych?

5) czy można przeprowadzić ów operację stosunkowo bezpiecznie na bazie produkcyjnej?

[Micki]

taktyk

[m.....q]

@tomix:

MySQL ma calkiem neizla dokumentacje - sprawdzales..?

MySQL enables encryption on a per-connection basis. You can choose an unencrypted connection or a secure encrypted SSL connection according the requirements of individual applications.

http://dev.mysql.com/doc/refman/5.6/en/ssl-connections.html

[tomix]

@msq: Trochę sprawdzałem, ale chciałem też zawężenia informacji. Nie mogę jeszcze jednej konkretnej rzeczy znaleźć. Skoro w MySQL konfigurując konto użytkownika z SSL'em x.509 nie wskazujesz certyfikatu, a on przy połączeniu określa CA, swój kliencki cert i key w .pem to jakim sposobem baza zrobi decrypt?

[m.....q]

@tomix: Nie wiem, nie ustawialem tego nigdy. Odpal sobie wirtualke na vboxie albo w chmurze i potestuj.

[ppawel]

@tomix: kiedyś korzystałem, ale niewiele pamiętam :(

1) nie pamiętam, czy można popodpinać kilka cert do jednej bazy, ale na pewno w którejś tabeli w ustawieniach usera wskazuje się metodę autoryzacji,

2) na 97% może tak