🔩 👨🏼‍🏭 👵🏾 पासवर्ड के बिना MySQL का उपयोग कैसे करें (और सुरक्षा जोखिम) 🙅🏿 🛄 🏞️

वे कहते हैं कि सबसे अच्छा पासवर्ड वह है जिसे याद रखने की आवश्यकता नहीं है। MySQL के मामले में, यह Cort_socket प्लगइन के लिए वास्तविक धन्यवाद है और MariaDB के लिए इसका संस्करण है - unix_socket ।

ये दोनों प्लगइन्स बिल्कुल भी नए नहीं हैं, एक ही ब्लॉग में इनकी बहुत चर्चा की गई है, उदाहरण के लिए, MySQL 5.7 में पासवर्ड को बदलने के लिए एक लेख में, जिसमें Cort_socket प्लगइन का उपयोग किया गया है । हालाँकि, मारियाडीबी 10.4 में नया क्या है, इसका विश्लेषण करते हुए, मैंने पाया कि unix_socket अब डिफ़ॉल्ट रूप से स्थापित हो गया है और प्रमाणीकरण विधियों में से एक है ("एक", क्योंकि MariaDB 10.4 में एक से अधिक प्लगइन एक उपयोगकर्ता के लिए प्रमाणीकरण के लिए उपलब्ध है, जिसे दस्तावेज़ में समझाया गया है। मारियाबीडी 10.04 से "प्रमाणीकरण" ।

जैसा कि मैंने कहा, यह खबर नहीं है, और जब आप डेबियन टीम द्वारा समर्थित .deb संकुल का उपयोग करके MySQL स्थापित करते हैं, तो सॉकेट के माध्यम से प्रमाणीकरण के लिए रूट अधिकार वाला उपयोगकर्ता बनाया जाता है। यह MySQL और MariaDB दोनों के लिए सही है।

root@app:~# apt-cache show mysql-server-5.7 | grep -i maintainers Original-Maintainer: Debian MySQL Maintainers <pkg-mysql-maint@lists.alioth.debian.org> Original-Maintainer: Debian MySQL Maintainers <<a href="mailto:pkg-mysql-maint@lists.alioth.debian.org">pkg-mysql-maint@lists.alioth.debian.org</a>>

MySQL के लिए डेबियन पैकेज के साथ, रूट उपयोगकर्ता निम्नानुसार प्रमाणित करता है:

 root@app:~# whoami root= root@app:~# mysql Welcome to the MySQL monitor. Commands end with ; or \g. Your MySQL connection id is 4 Server version: 5.7.27-0ubuntu0.16.04.1 (Ubuntu) Copyright (c) 2000, 2019, Oracle and/or its affiliates. All rights reserved. Oracle is a registered trademark of Oracle Corporation and/or its affiliates. Other names may be trademarks of their respective owners. Type 'help;' or '\h' for help. Type '\c' to clear the current input statement. mysql> select user, host, plugin, authentication_string from mysql.user where user = 'root'; +------+-----------+-------------+-----------------------+ | user | host   | plugin | authentication_string | +------+-----------+-------------+-----------------------+ | root | localhost | auth_socket |            | +------+-----------+-------------+-----------------------+ 1 row in set (0.01 sec)

मारियाडीबी के लिए .deb पैकेज के मामले में भी यही बात है:

 10.0.38-MariaDB-0ubuntu0.16.04.1 Ubuntu 16.04 MariaDB [(none)]> show grants; +------------------------------------------------------------------------------------------------+ | Grants for root@localhost                                   | +------------------------------------------------------------------------------------------------+ | GRANT ALL PRIVILEGES ON *.* TO 'root'@'localhost' IDENTIFIED VIA unix_socket WITH GRANT OPTION | | GRANT PROXY ON ''@'%' TO 'root'@'localhost' WITH GRANT OPTION                 | +------------------------------------------------------------------------------------------------+ 2 rows in set (0.00 sec)

आधिकारिक Percona रिपॉजिटरी से .deb संकुल रूट उपयोगकर्ता प्रमाणीकरण को Percona सर्वर के लिए भी-सॉकेट के अंतर्गत कॉन्फ़िगर करते हैं। यहाँ MySQL 8.0.16-7 और Ubuntu 16.04 के लिए Percona सर्वर के साथ एक उदाहरण दिया गया है:

 root@app:~# whoami root root@app:~# mysql Welcome to the MySQL monitor. Commands end with ; or \g. Your MySQL connection id is 9 Server version: 8.0.16-7 Percona Server (GPL), Release '7', Revision '613e312' Copyright (c) 2009-2019 Percona LLC and/or its affiliates Copyright (c) 2000, 2019, Oracle and/or its affiliates. All rights reserved. Oracle is a registered trademark of Oracle Corporation and/or its affiliates. Other names may be trademarks of their respective owners. Type 'help;' or '\h' for help. Type '\c' to clear the current input statement. mysql> select user, host, plugin, authentication_string from mysql.user where user ='root'; +------+-----------+-------------+-----------------------+ | user | host   | plugin | authentication_string | +------+-----------+-------------+-----------------------+ | root | localhost | auth_socket |            | +------+-----------+-------------+-----------------------+ 1 row in set (0.00 sec)

तो क्या जादू है? प्लगइन सत्यापित करता है कि लिनक्स उपयोगकर्ता SOSQL के सॉकेट विकल्प का उपयोग करके MySQL उपयोगकर्ता से मेल खाता है - क्लाइंट प्रोग्राम चलाने वाले उपयोगकर्ता के बारे में जानकारी एकत्र करने के लिए। इस प्रकार, प्लगइन का उपयोग केवल उन सिस्टम पर किया जा सकता है जो SO_PEERCRED विकल्प का समर्थन करते हैं, जैसे लिनक्स। SO_PEERCRED सॉकेट विकल्प आपको सॉकेट-संबंधित प्रक्रिया के यूआईडी को पहचानने की अनुमति देता है। और उसके बाद, वह पहले से ही इस यूआईडी से जुड़ा उपयोगकर्ता नाम प्राप्त करता है।

यहाँ उपयोगकर्ता "आवारा" के साथ एक उदाहरण है:

 vagrant@mysql1:~$ whoami vagrant vagrant@mysql1:~$ mysql ERROR 1698 (28000): Access denied for user 'vagrant'@'localhost'

चूंकि MySQL में कोई आवारा उपयोगकर्ता नहीं है, इसलिए हम पहुंच से वंचित हैं। ऐसा उपयोगकर्ता बनाएं और पुनः प्रयास करें:

 MariaDB [(none)]> GRANT ALL PRIVILEGES ON *.* TO 'vagrant'@'localhost' IDENTIFIED VIA unix_socket; Query OK, 0 rows affected (0.00 sec) vagrant@mysql1:~$ mysql Welcome to the MariaDB monitor. Commands end with ; or \g. Your MariaDB connection id is 45 Server version: 10.0.38-MariaDB-0ubuntu0.16.04.1 Ubuntu 16.04 Copyright (c) 2000, 2018, Oracle, MariaDB Corporation Ab and others. Type 'help;' or '\h' for help. Type '\c' to clear the current input statement. MariaDB [(none)]> show grants; +---------------------------------------------------------------------------------+ | Grants for vagrant@localhost                          | +---------------------------------------------------------------------------------+ | GRANT ALL PRIVILEGES ON *.* TO 'vagrant'@'localhost' IDENTIFIED VIA unix_socket | +---------------------------------------------------------------------------------+ 1 row in set (0.00 sec)

यह निकला!

खैर, एक गैर-डेबियन वितरण के बारे में क्या है जहां यह डिफ़ॉल्ट रूप से प्रदान नहीं किया जाता है? आइए CentOS 7 पर स्थापित MySQL 8 के लिए Percona सर्वर का प्रयास करें:

 mysql> show variables like '%version%comment'; +-----------------+---------------------------------------------------+ | Variable_name  | Value                  | +-----------------+---------------------------------------------------+ | version_comment | Percona Server (GPL), Release 7, Revision 613e312 | +-----------------+---------------------------------------------------+ 1 row in set (0.01 sec) mysql> CREATE USER 'percona'@'localhost' IDENTIFIED WITH auth_socket; ERROR 1524 (HY000): Plugin 'auth_socket' is not loaded

ओह। क्या याद आ रही थी? प्लग इन लोड नहीं:

 mysql> pager grep socket PAGER set to 'grep socket' mysql> show plugins; 47 rows in set (0.00 sec)

प्रक्रिया में एक प्लगइन जोड़ें:

 mysql> nopager PAGER set to stdout mysql> INSTALL PLUGIN auth_socket SONAME 'auth_socket.so'; Query OK, 0 rows affected (0.00 sec) mysql> pager grep socket; show plugins; PAGER set to 'grep socket' | auth_socket           | ACTIVE | AUTHENTICATION | auth_socket.so | GPL   | 48 rows in set (0.00 sec)

अब हमारे पास वह सब कुछ है जो हमें चाहिए। आइए एक बार और प्रयास करें:

 mysql> CREATE USER 'percona'@'localhost' IDENTIFIED WITH auth_socket; Query OK, 0 rows affected (0.01 sec) mysql> GRANT ALL PRIVILEGES ON *.* TO 'percona'@'localhost'; Query OK, 0 rows affected (0.01 sec)

अब आप लॉगिन "पर्कोना" का उपयोग करके लॉग इन कर सकते हैं।

 [percona@ip-192-168-1-111 ~]$ whoami percona [percona@ip-192-168-1-111 ~]$ mysql -upercona Welcome to the MySQL monitor. Commands end with ; or \g. Your MySQL connection id is 19 Server version: 8.0.16-7 Percona Server (GPL), Release 7, Revision 613e312 Copyright (c) 2009-2019 Percona LLC and/or its affiliates Copyright (c) 2000, 2019, Oracle and/or its affiliates. All rights reserved. Oracle is a registered trademark of Oracle Corporation and/or its affiliates. Other names may be trademarks of their respective owners. Type 'help;' or '\h' for help. Type '\c' to clear the current input statement. mysql> select user, host, plugin, authentication_string from mysql.user where user ='percona'; +---------+-----------+-------------+-----------------------+ | user  | host  | plugin  | authentication_string | +---------+-----------+-------------+-----------------------+ | percona | localhost | auth_socket |            | +---------+-----------+-------------+-----------------------+ 1 row in set (0.00 sec)

और यह फिर से काम किया!

प्रश्न: क्या समान पेरकोना लॉगिन का उपयोग करके लॉग इन करना संभव होगा, लेकिन एक अलग उपयोगकर्ता से?

 [percona@ip-192-168-1-111 ~]$ logout [root@ip-192-168-1-111 ~]# mysql -upercona ERROR 1698 (28000): Access denied for user 'percona'@'localhost'

नहीं, यह काम नहीं करेगा।

निष्कर्ष

MySQL कई पहलुओं में काफी लचीला है, जिनमें से एक प्रमाणीकरण विधि है। जैसा कि इस पोस्ट से देखा जा सकता है, ओएस के उपयोगकर्ताओं के आधार पर पासवर्ड के बिना पहुंच प्राप्त की जा सकती है। यह कुछ परिदृश्यों में उपयोगी हो सकता है, और उनमें से एक तब है जब आप RDS / Aurora से नियमित MySQL में माइग्रेट करते हैं, IAM डेटाबेस प्रमाणीकरण का उपयोग करके अभी भी एक्सेस करने के लिए, लेकिन पासवर्ड के बिना।

पासवर्ड के बिना MySQL का उपयोग कैसे करें (और सुरक्षा जोखिम)

निष्कर्ष

More articles: