基于MySQL數(shù)據(jù)庫(kù)的數(shù)據(jù)隱私與安全策略研究

◆石坤泉 楊震倫

（廣州番禺職業(yè)技術(shù)學(xué)院信息工程學(xué)院 廣東 511483）

基于MySQL數(shù)據(jù)庫(kù)的數(shù)據(jù)隱私與安全策略研究

◆石坤泉 楊震倫

（廣州番禺職業(yè)技術(shù)學(xué)院信息工程學(xué)院 廣東 511483）

為提高數(shù)據(jù)庫(kù)安全提升數(shù)據(jù)庫(kù)的性能，力求達(dá)到安全與性能的平衡。從數(shù)據(jù)傳輸安全性、數(shù)據(jù)存儲(chǔ)安全性以及服務(wù)器配置等方面分析了MySQL可能存在的安全漏洞; 從密碼學(xué)、安全協(xié)議以及文件權(quán)限等維度提出本地和遠(yuǎn)程訪問MySQL數(shù)據(jù)庫(kù)的安全體系結(jié)構(gòu); 分析比較了HASH認(rèn)證與DSA/RSA公鑰認(rèn)證方式、本地MySQL/SSL與外部SSH通道的安全應(yīng)用。

MySQL數(shù)據(jù)庫(kù); 安全漏洞; 安全保護(hù); 策略研究

0 前言

MySQL是廣為使用的開源數(shù)據(jù)庫(kù)。MySQL支持Sql server 的遷移，支持對(duì)Java、c#、PHP等的API，以及通過Memcached的API以NoSQL訪問InnoDB所帶來的更好的開發(fā)速度。MySQL廣泛應(yīng)用于網(wǎng)站、web數(shù)據(jù)庫(kù)、嵌入式應(yīng)用、大數(shù)據(jù)、云計(jì)算等領(lǐng)域。

大數(shù)據(jù)在存儲(chǔ)、處理、傳輸?shù)冗^程中面臨諸多安全風(fēng)險(xiǎn)，具有數(shù)據(jù)安全與隱私保護(hù)需求[1]。數(shù)據(jù)庫(kù)的安全威脅來自于許多不同的途徑。如果我們跟蹤數(shù)據(jù)庫(kù)應(yīng)用的數(shù)據(jù)流過程，兩種主要的安全問題可以被歸納出：安全數(shù)據(jù)傳輸和安全數(shù)據(jù)存儲(chǔ)及訪問[2]。如果安全威脅按照其所受攻擊的來源來分類，可以分為外部侵入、內(nèi)部管理漏洞和系統(tǒng)管理員[3]。在數(shù)據(jù)庫(kù)安全體系中，身份認(rèn)證是最重要的一個(gè)環(huán)節(jié)[4]。在傳輸安全方面，主要用到虛擬專用網(wǎng)絡(luò)（VPN、SSH）和基于安全套接層協(xié)議 VPN（SSL VPN）技術(shù)[5]。

本文基于Windows實(shí)驗(yàn)環(huán)境。從身份認(rèn)證、數(shù)據(jù)傳輸以及服務(wù)器配置等多個(gè)維度分析了MySQL可能存在的安全漏洞; 緊緊圍繞身份認(rèn)證、密碼存儲(chǔ)安全性和數(shù)據(jù)傳輸安全性，從基礎(chǔ)的SHA-1加密方式引入SSL和SSH協(xié)議框架，構(gòu)建本地和遠(yuǎn)程訪問MySQL數(shù)據(jù)庫(kù)的安全體系結(jié)構(gòu); 并基于該安全體系結(jié)構(gòu)提出了相應(yīng)的安全策略; 最后，對(duì)基礎(chǔ)SHA-1、SHA-256/SSL和SSH通道的安全機(jī)制和性能進(jìn)行比較分析，提出在注重安全性的同時(shí)也要注重提升性能。

1 MySQL 數(shù)據(jù)庫(kù)的安全漏洞分析

從內(nèi)部機(jī)制來看，MySQL 數(shù)據(jù)庫(kù)的安全漏洞可能來自于密碼存儲(chǔ)、數(shù)據(jù)傳輸以及服務(wù)器配置等安全問題。

1.1 密碼存儲(chǔ)安全性

（1）數(shù)據(jù)庫(kù)文件安全問題。MySQL數(shù)據(jù)庫(kù)文件保存在數(shù)據(jù)庫(kù)目錄data中，共有“frm”、“myd”“和myi”三種文件。記錄user表的是user.frm、user.myd、user.myi等三個(gè)文件，user.myd保存了MySQL數(shù)據(jù)庫(kù)用戶密碼，包括root用戶和其他用戶的密碼。

（2）日志文件的安全問題。比如，使用GRANT授權(quán)或使用SET PASSWORD設(shè)置密碼時(shí)，這樣的有關(guān)密碼、用戶權(quán)限等方面的敏感查詢文本的都會(huì)被記錄到日志中。如果攻擊者具有對(duì)這些日志的讀訪問權(quán)，那么只要在日志文件中查找GRANT或PASSWORD這樣的敏感單詞，就很容易找到密碼的明文。

1.2 密碼傳輸安全性

比如，使用MySQL -h host –uusername -ppassword命令行連接服務(wù)器時(shí)，若直接在-p后面輸入明文密碼，則在任務(wù)管理器上將清楚地看到密碼。同樣，運(yùn)行MySQLdump、MySQLimport命令進(jìn)行數(shù)據(jù)庫(kù)備份或恢復(fù)時(shí)，也存在明文密碼傳輸?shù)陌踩噪[患。此外，還可能存在諸如匿名帳戶、服務(wù)器配置等方面的安全漏洞。

2 MySQL安全策略研究

2.1 使用MySQL/SSL增強(qiáng)本地連接安全性

MySQL默認(rèn)使用SHA-1即native MySQL authentication（本地MySQL身份驗(yàn)證），這種加密方法簡(jiǎn)單但安全性頗受質(zhì)疑。采用SHA-256/SSL在一定程度上提高安全性：一是SHA-256可以得到 64個(gè)隨機(jī)散列字符串，二是使用SHA-256加密需OpenSSL連接mysql服務(wù)器。

在具體操作上，MySQL服務(wù)端編譯使用SSL，并指定客戶端連接服務(wù)器的SSL級(jí)別。同時(shí)，在使用命令來創(chuàng)建SHA-256加密方式創(chuàng)建用戶時(shí)，要先指定使用SHA256_password插件創(chuàng)建用戶。另外，若希望用戶每次必須通過SSL方式，還需在創(chuàng)建用戶時(shí)REQUIRE SSL。

2.2 使用外部SSH通道增強(qiáng)遠(yuǎn)程數(shù)據(jù)傳輸安全性

遠(yuǎn)程數(shù)據(jù)傳輸時(shí)，可以引入SSH（Secure SHell）通道機(jī)制，通過外部SSH通道創(chuàng)建客戶機(jī)與MySQL服務(wù)器的連接，將傳輸數(shù)據(jù)進(jìn)行加密和壓縮，并采用密鑰認(rèn)證使密碼口令等重要信息不被泄漏。SSHclient與SSHserver之間連接時(shí)，會(huì)在SSH服務(wù)器上生成DSA.KEY和RSA.KEY，利用DSA/RSA良好的加密機(jī)制保證數(shù)據(jù)的安全與數(shù)據(jù)庫(kù)穩(wěn)定。

在具體操作過程中，要在服務(wù)器主機(jī)安裝SSH協(xié)議軟件（如freeSSHD），搭建好SSH服務(wù)器，在客戶機(jī)上安裝SSH客戶端（如puTTY、Navicat for MySQL），如圖1所示。

圖1 通過SSH隧道連接MySQL服務(wù)器示意圖

2.3 數(shù)據(jù)庫(kù)密碼文件安全策略

為保證數(shù)據(jù)庫(kù)文件和日志文件的安全，可以使用安全的文件系統(tǒng)權(quán)限[6]。比如，利用Windows的NTFS權(quán)限，對(duì)存儲(chǔ)用戶信息的三個(gè)數(shù)據(jù)庫(kù)文件特別是用戶授權(quán)表設(shè)置合法的訪問控制權(quán)限。同理，做好FreeSSHd用戶的公鑰文件夾的保護(hù)（默認(rèn)C：Program FilesfreeSSHd），里面有保存用戶信息的FreeSSHdService.ini和公鑰DSAkey.cfg、RSAkey.cfg。

2.4 其它安全策略

為防止配置文件引起的安全隱患，可打開MySQL配置文件my.ini，注釋掉[MySQLd]選項(xiàng)中的skip-grant-tables這一行，防止用戶越過系統(tǒng)身份認(rèn)證直接登錄MySQL服務(wù)器。另外，刪除user為空的匿名帳戶和密碼為空的root帳戶，使用符合密碼復(fù)雜性原則的安全級(jí)別更高的密碼等。

3 性能比較分析

SSH協(xié)議把客戶端與服務(wù)器之間傳輸?shù)臄?shù)據(jù)進(jìn)行加密和壓縮; SSL協(xié)議使用通訊雙方的客戶證書以及CA根證書，客戶機(jī)在與服務(wù)器連接時(shí)要與SSL握手; 而常規(guī)SHA-1是MySQL的默認(rèn)加密機(jī)制，簡(jiǎn)單快速安全性略低。三種安全機(jī)制對(duì)比如表格1所示。

SSH、SSL均采用了RSA非對(duì)稱加密算法，這種算法由密鑰產(chǎn)生（公鑰和密鑰）、加密以及解密三個(gè)過程組成，客戶端發(fā)出密匙安全驗(yàn)證的請(qǐng)求→公用密匙比較→密匙加密“質(zhì)詢”（challeng e）→私人密匙解密→發(fā)送給服務(wù)器。與常規(guī)SHA-1相比，雖然不需要在網(wǎng)絡(luò)上傳送口令密碼，安全級(jí)別更高，但客戶端與服務(wù)器之間連接時(shí)間會(huì)比較長(zhǎng)。