MySQL加密在休息在第一系列的博文,我们来看看MySQL加密在休息的时候。

Per雷竞技下载官网cona,与我们合作的客户数量,需要强有力的安全措施对PCI, HIPAA和φ合规,MySQL管理的数据需要加密”在休息的时候。“万物与开源,几个选项满足MySQL加密在休息的要求。在这个分为三部分的系列文章中,我们将介绍几个热门选择加密数据和现在的每个解决方案的优缺点。你可能想要评估这些教程的哪些部分最适合您的情况之前在生产中使用它们。

本系列的第一部分是实现磁盘级别加密使用地下室+陆。

在MySQL 5.7中,InnoDB内置的加密功能。然而,这种解决方案也有一些缺点。具体来说,InnoDB表空间加密不包括undo日志,重做日志或主ibdata1表空间。此外,binary-logs和slow-query-logs不介绍下InnoDB加密。

使用地下室+举例,我们可以加密所有(数据+日志)在一个伞下,提供所有文件驻留在相同的磁盘。如果你单独的各种登录不同的分区,你将不得不对每个分区重复下面的教程。

陆教程

Linux安装(陆)统一的关键是当前磁盘加密标准。在下面的例子中,块设备/dev/sda4在CentOS 7是使用生成的密钥进行加密,然后作为默认安装MySQL数据目录/var/lib/mysql。

警告!损失的关键意味着完整的数据丢失!一定要备份的关键。

安装所需的工具:

创建、格式化和安装一个加密的磁盘

的cryptsetup命令初始化音量,并设置一个初始键/密码。请注意,关键是不可恢复的,因此不要忘记它。现在花点时间来决定你可以安全地存储这个密钥的一个副本。LastPass安全记录是一个很好的选择,因为它们允许文件附件。这增强了我们的备份。

创建一个密码加密。选择一些高的熵(即。,很多随机性)。这里有两个选项(选择一个):

接下来,我们需要初始化和格式与陆分区使用。任何使用这个块设备挂载点必须预先卸载。

警告!这个命令将删除设备上的所有数据!一定要完成任何备份在你运行这个!

系统将提示您输入密码。提供你在上面生成的短语。在你提供一个密码,你现在需要“开放”加密的磁盘和提供设备映射器名称(即。一个别名)。它可以是任何东西,但是对于我们的目的,我们将称之为“mysqldata”:

系统将提示您为你上面使用的密码。成功,您应该看到设备出现:

现在您可以加密格式这个块设备,创建一个文件系统:

现在你可以挂载加密块设备你格式化:

遗憾的是你不能添加这个挂载加载服务器上重新启动,因为关键是需要“开放”的设备。请牢记这一点,如果你的服务器重新启动MySQL不会开始以来数据目录不可用,直到打开并安装(我们将看看如何使用脚本使这项工作在本系列的第二部分)。

创建一个备份加密信息

陆的头块设备包含有关当前的信息加密密钥(年代)。这有损坏,或如果你需要恢复,因为你忘记新密码,你可以恢复这头信息:

现在继续做这个文件的SHA1,以确认它不会损坏稍后在存储:

GZip的头文件。SHA1和. gz文件存储在一个安全的位置(例如,将其附加到安全注意上面创建)。现在你有一个备份所使用的密钥和一个备份关键的头使用。

卸载和关闭一个磁盘

如果你知道你将存储磁盘,或只是想确保内容(即是不可见的。、安装),可以卸载和“关闭”加密的设备:

为了再次安装这个设备,你必须“开放”,并提供的关键之一。

旋转钥匙(添加/移除键)

各种法规遵循和执行规则规定多长时间你需要旋转钥匙。你不能直接旋转或改变一个关键。陆最多支持8键/设备。首先你必须添加一个新的关键任何插槽(除了槽目前占据关键您要删除的),然后删除旧的关键。

看看现有的头信息:

在这里我们可以看到一个关键目前占据“键槽0”。我们可以添加任何的关键禁用关键的位置。让我们用槽# 1:

陆要求“任何”密码进行身份验证。在其他时段有钥匙,我们可以使用任何其中之一。作为目前唯一保存,我们必须使用它。我们可以添加一个新的密码槽1。

现在,我们已经拯救了新的密钥在插槽1中,我们可以删除的关键位置0。

在上面的示例中,使用了现有的密码存储在位置0。这是不允许的。你不能提供相同的密码您正试图删除。

重复这个命令并提供密码槽1,这是补充道。我们现在能够移除密码存储在位置0:

你改变了密码后,这是一个好主意重复上面的头我们执行转储步骤和存储新的密码在你的地下室。

结论

恭喜,您已经学会了如何加密和挂载一个分区使用陆!您现在可以使用这个安装设备就像任何其他。你也可以恢复备份和启动MySQL。

在两个部分中,我们将介绍使用InnoDB表空间加密。

4评论
最古老的
最新的 大多数投票
内联反馈
查看所有评论
拉尔夫

这是尴尬的HIPAA和两个Ps 2017年。

0
vidyadhar chelluru

只是想知道,有没有性能影响如果我使用其他加密使用以上方法生产环境吗?

0
utdrmac

嗨Vidyadhar。我们发现没有明显的性能影响。重要的是要有一个CPU与AES硬件加速。

0
贪婪的

增加迭代时间,使用sha512应该考虑对任何严重的加密。默认值是不够的。

0