图1

　　一、前言

　　安全在生产环境下总是个无法忽视的问题，而数据库安全则是重中之重，由于所有的数据都存放在数据库中。在MySQL5.7版本之前，MySQL对于安全问题的确考虑并不充分，导致存在比较大的隐患，例如下面的这些问题，也许有些小伙伴知道，有些却还不知道：

　　（1）MySQL数据库默认安装的用户密码为空

　　（2）所有用户拥有对于MySQL默认安装test数据库的访问权限(即使没有授予权限)

　　Oracle官方也已经意识到安全的重要性，所以MySQL 5.7开始安装完成后的root用户的密码不再是空，而是在安装时随机产生一个密码，这导致了用户安装5.7时发现的与5.6版本比较大的一个不同点。另外，官方已经删除了test数据库，默认安装完后是没有test数据库的。重要的是，MySQL 5.7版本提供了更为简单SSL安全访问配置，且默认连接就采用SSL的加密方式。

　　二、何为SSL

　　我们来看下维基百科是如何定义SSL的：

　　Transport Layer Security (TLS) and its predecessor, Secure Sockets Layer (SSL), both of which are frequently referred to as 'SSL', are cryptographic protocols designed to provide communications security over a computer network.

　　我们从上面所说的定义来看，SSL指的是SSL/TLS，是一种为了在计算机网络进行安全通信的加密协议。假如用户的传输不是通过SSL的方式，那么他在网络中以明文的方式进行传输，这就给别有用心的人带来了可乘之机。因此，现在很多网站其实默认已经开启了SSL功能，比如这些网站：

• Facebook
• Twtter
• YouTube
• 淘宝等

    如图2所示

　　图2

　　在数据库领域，之前我去某公司做技术交流时，该公司介绍其运维平台能够对一些敏感字段做处理，例如取出的密码或资金数据用***来表示，那么DBA就无法看到这部分的私人数据内容。这本身是一个很不错的安全处理方式，但是若DBA在本地装一个类似tcpdump的工具，则依然能够通过获取得到的包得到想要的数据。所以，除了在程序端进行展示的安全处理，还需在MySQL服务器端开启安全的加密通信功能，这时就是SSL发挥功能的时候了。

　　三、MySQL 5.7的SSL配置和使用

　　仔细阅读MySQL 5.7的安装文档INSTALL-BINARY，你就会发现5.7的安装文档在初始化数据目录之后还额外多做了一个操作，这是之前版本所没有的操作，而该步骤即是对于SSL的安装与配置，如下所示：

　　......

　　shell> bin/mysqld --initialize --user=mysql

　　shell> bin/mysql_ssl_rsa_setup

　　......

　　运行完命令mysql_ssl_rsa_setup后会发现数据目录下多出了一些以pem结尾的文件，而这些文件就是开启SSL连接所需要的文件，如下所示：

　　root@test-1:/usr/local/mysql/data# ls -lh *.pem

　　-rw------- 1 mysql mysql 1.7K Nov 25 14:12 ca-key.pem

　　-rw-r--r-- 1 mysql mysql 1.1K Nov 25 14:12 ca.pem

　　-rw-r--r-- 1 mysql mysql 1.1K Nov 25 14:12 client-cert.pem

　　-rw------- 1 mysql mysql 1.7K Nov 25 14:12 client-key.pem

　　-rw------- 1 mysql mysql 1.7K Nov 25 14:12 private_key.pem

　　-rw-r--r-- 1 mysql mysql 451 Nov 25 14:12 public_key.pem

　　-rw-r--r-- 1 mysql mysql 1.1K Nov 25 14:12 server-cert.pem

　　-rw------- 1 mysql mysql 1.7K Nov 25 14:12 server-key.pem

　　若这时启动MySQL数据库并启动应该可以发现如下状态，如下所示：

　　mysql>SHOW VARIABLES LIKE 'have_ssl';

　　+---------------+-------+

　　| Variable_name | Value |

　　+---------------+-------+

　　| have_ssl | YES |

　　+---------------+-------+

　　1 row in set (0.00 sec)

　　该参数表示MySQL服务器开启了SSL功能，但在MySQL 5.7版本下默认就会使用SSL的方式来进行连接，例如：

　　root@test-1:~# mysql -h10.166.224.32 -udavid

　　mysql> \s

　　--------------

　　mysql Ver 14.14 Distrib 5.7.9, for linux-glibc2.5 (x86_64) using EditLine wrapper

　　Connection id: 6119

　　Current database:

　　Current user: david@10.166.224.32

　　SSL: Cipher in use is DHE-RSA-AES256-SHA

　　......

　　通过STATUS的SSL列就能判断连接的用户是否使用了SSL，比如上面的例子中的Cipher in use is DHE-RSA-AES256-SHA就表示当前david用户是通过SSL的方式进行连接。如果在创建用户时，希望该用户每次必须通过SSL方式，则需在创建用户通过REQUIRE SSL来进行设置，对于上面的的david用户，可以通过以下所示的方式来进行修改以确保每次通过SSL进行连接，强制不使用SSL进行连接则报错，如下所示：

　　mysql> ALTER USER david@'%' REQUIRE SSL;

　　......

　　root@test-1:~# mysql -h10.166.224.32 -udavid --ssl=0

　　ERROR 1045 (28000): Access denied for user 'david'@'10.166.224.32' (using password: YES)

　　MySQL 5.6同样支持以SSL的方式进行连接，但操作相对于5.7较为复杂，用户需要自己通过openssl命令来创建各类公密钥，具体可参阅相关官方文档。

　　四、SSL性能测试

　　很多人关心开启SSL加密连接后的性能表现，但我们不可否认的是启用SSL加密连接后，性能必然会有下降。这里的测试采用全内存SELECT主键的方式，所以可以认为是最坏情况的SSL性能开销，如图3所示：

　　图3

　　图3的测试是在我的云主机环境下，云主机配置只有4核CPU，所以QPS值整体不高，但应该能够发现开启SSL后的性能开销在25%左右。

　　此外，因为SSL开销较大的环节在建立连接，因此短链接的开销可能会更大，所以推荐使用长连接或者连接池的方式来减小SSL所带来的额外开销，不过好在MySQL的应用习惯大部分也是长连接的方式。

　　五、总结

• 　　MySQL 5.7配置SSL要比5.6来的简单的多
• 　　MySQL 5.7客户端默认开启SSL加密连接
• 　　通常来说，开启SSL加密连接后，性能最大的开销在25%左右