MySQL Sunucu ve İstemci Trafiğinin Şifrelenmesi

<br /><div style="text-align: justify;"><div class="separator" style="clear: both; text-align: center;"><a href="http://4.bp.blogspot.com/-daHGaHINjZI/Uj4VnRldhPI/AAAAAAAAAbk/dECB32ZthJo/s1600/sakila-security.png" imageanchor="1" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" height="158" src="http://4.bp.blogspot.com/-daHGaHINjZI/Uj4VnRldhPI/AAAAAAAAAbk/dECB32ZthJo/s200/sakila-security.png" width="200" /></a></div>Aksi belirtilmedikçe MySQL sunucusu ile istemcisi arasındaki ağ trafiği açık metin olarak gerçekleştirilmektedir. Aslında bu sadece MySQL’e has bir özellik değil, sunucu istemci mimarisi ile çalışan bütün uygulamalar için gieçerli bir durumdur. İstemci sunucu arasındaki ağ trafiğini gözlemlemek isteyen kişiler, sunucu istemci arasında açık metin olarak gerçekleştirilen ağ trafiğini dinlereyek hassas bilgilere erişim sağlayabilirler.</div><br /><div style="text-align: justify;">Aşağıda MySQL sunucusu ile istemcisi arasındaki ağ trafiğinin gözlemlenmesi halinde nelerin yapılabileceğini göstermek açısından, MySQL sunucu sistemi üzerinde tcpdump ve strings komutları kullanılarak gerçekleştirilen gözlemlenebilen SQL sorgu işlemleri gösterilmiştir.<br /><a name="more"></a></div><br /># tcpdump -l -i eth0 -w - src or dst port 3306 | strings<br />tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes<br />5.0.45<br />wRuuj5g,<br />LLBPALES<br />show databases<br />SCHEMATA<br />Datab<br />show tables<br />TABLE_NAMES<br />select @@version_comment<br />@@version_com<br />show databases<br />SCHEMATA<br />Datab <br /><br /><div style="text-align: justify;">Görüldüğü gibi MySQL istemcisinden gerçekleştirilen SQL sorguları açık olarak görülmektedir. Aynı durum MySQL sunucusu ve istemcisi arasındaki trafiğin şifreli olarak iletildiğinde aşağıdaki gibi olmaktadır. </div><br /># tcpdump -l -i eth0 -w - src or dst port 3306 | strings<br />tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes<br />gLO<br />%DgLOY<br />gLOY<br />lnp@<br />%HgLOY4<br />5.0.45<br />bA['P;xl<br />gLO\<br />gLO_<br />4nq@<br />%KgLO_<br />gLOo<br />4nr@<br /><br /><div style="text-align: justify;">Yukarıda görüldüğü gibi MySQL sunucusu ve istemcisi arasındaki ağ trafiği şifreli bir biçimde gerçekleştirildiğinde, sorgular açık olarak görüntülenememektedir.</div><br /><div style="text-align: justify;">MySQL sunucu ve istemci trafiğinin şifrelenmesi için uygulanabilecek yöntemlerden bir taneside OpenSSL uygulamasının kullanılmasıdır. MySQL sunucu, istemci trafiğinin şifrelenmesi için kullanılabilecek açık kaynak kodlu yöntemlerden bazıları olarak OpenSSH , OpenVPN ve OpenSSL gösterilebilir. Burada OpenSSL kullanılarak nasıl sunucu istemci arasındaki trafiğin şifreleneceği anlatılacaktır. Öncelikle mevcut MySQL sunucu servisinde SSL desteğinin aktif olup olmadığına bakılmalıdır. Şekil 1'de görüldüğü gibi “SHOW VARIABLES LIKE 'have_openssl'” sql sorgusu ile görüntülenebilir.</div><div style="text-align: justify;"><br /></div><div><table align="center" cellpadding="0" cellspacing="0" class="tr-caption-container" style="margin-left: auto; margin-right: auto; text-align: center;"><tbody><tr><td style="text-align: center;"><img src="http://www.bilgiguvenligi.gov.tr/images/stories/galkan/ekil_1_3_mysql_ssl_desteinin_kontrol_edilmesi.png" style="margin-left: auto; margin-right: auto;" /></td></tr><tr><td class="tr-caption" style="text-align: center;"><span style="font-size: small; text-align: start;">Şekil 1 MySQL Ssl Desteğinin Kontrol Edilmesi</span></td></tr></tbody></table><div style="text-align: justify;">“Value” değerinin “DISABLED” olması, veritabanı sunucusunun SSL desteğinini aktif hale getirilmesi için 5.0 öncesi sürümlerde "--with-vio", "--with-openssl" seçeneklerinin kullanılması gerekmektedir.5.0sürümleri için "--with-openssl" seçeneğinin kullanılması yeterli olacaktır. 5.1 ve sonrası sürümlerde SSL desteğinini aktif hale getirilmesi için "--with-ssl" seçeneğinin kullanılması yeterli olacaktır.</div><br /><div style="text-align: justify;">MySQL sunucu servisine SSL desteğinin verilmesinin ardından sunucu ve istemci için gerekli sertifikalar oluşturulmalı ve son olarak sunucu ve istemci yapılandırma dosyalarında gerekli işlemler gerçekleştirilmelidir. Burada sertifika otoritesi için gerekli sertifikalar bizim tarafımızdan üretilerek, sunucu ve istemci için oluşturulacak sertifikalar bu sertifika yardımı ile üretilecektir. Bunun için öncelikle sertifikalar için uygun bir dizin belirlenmeli ve gerekli sertifikalar oluşturulmalıdır.</div></div><div># mkdir /usr/local/mysql-certs<br /># cd /usr/local/mysql-certs<br /><br /><div style="text-align: justify;">Sertifika için gerekli dizinin oluşturulmasının ardından öncelikle sertifika otoritesi için gerekli seritifikalar oluşturulmalı ardından, sunucu ve istemci için gerekli sertifikalar oluşturulmalıdır. Sertifika otoritesi için gerekli sertifikayı oluşturmak için aşağıdaki adımlar sırası ile uygulanmalıdır.</div></div><div># openssl genrsa -out ca-key.pem 2048<br />Generating RSA private key, 2048 bit long modulus ...........................................................................++++++ e is 65537 (0x10001)<br /># openssl req -new -x509 -nodes -days 1000 -key ca-key.pem -out ca-cert.pem<br />You are about to be asked to enter information that will be incorporated<br />into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN.<br />There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank.<br />-----<br />Country Name (2 letter code) [GB]:TR<br />State or Province Name (full name) [Berkshire]:Kastamonu<br />Locality Name (eg, city) [Newbury]:Merkez<br />Organization Name (eg, company) [My Company Ltd]:Agguvenligi<br />Organizational Unit Name (eg, section) []:Agguvenligi<br />Common Name (eg, your name or your server's hostname) []Agguvenligi<br />Email Address []: info@agguvenligi.net<br /><br />Ardından sunucu için gerekli sertifikalar oluşturulmalıdır. Bunun için aşağıdaki adımların sırası ile takip edilmesi gerekmektedir.<br /># openssl req -newkey rsa:2048 -days 1000 -nodes -keyout server-key.pem -out server-req.pem<br />Generating a 2048 bit RSA private key<br />...............................................................................................................................+++<br />...................................................................+++ writing new private key to 'server-key.pem'<br />-----<br />You are about to be asked to enter information that will be incorporated<br />into your certificate request.<br />What you are about to enter is what is called a Distinguished Name or a DN.<br />There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank.<br />-----<br />Country Name (2 letter code) [GB]:TR<br />State or Province Name (full name) [Berkshire]:Kastamonu<br />Locality Name (eg, city) [Newbury]:Merkez<br />Organization Name (eg, company) [My Company Ltd]:Agguvenligi<br />Organizational Unit Name (eg, section) []:Agguvenligi<br />Common Name (eg, your name or your server's hostname) []:Agguvenligi<br />Email Address []: info@agguvenligi.net<br /><br />Please enter the following 'extra' attributes to be sent with your certificate request<br />A challenge password []:<br />An optional company name []:<br /># openssl x509 -req -in server-req.pem -days 1000 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem<br />Signature ok<br />subject=/C=TR/ST=Kastamonu/L=Merkez/O=Agguvenligi/OU=Agguvenligi/CN=Agguvenligi Guvenligi/emailAddress= info@agguvenligi.net<br />Getting CA Private Key<br /><br />Son olaral MySQL istemcisi için gerekli sertifikalar oluşturulmalıdır. Bunun için aşağıdaki adımların sırası ile takip edilmesi gerekmektedir.<br /># openssl req -newkey rsa:2048 -days 1000 -nodes -keyout client-key.pem -out client-req.pem<br />Generating a 2048 bit RSA private key ..........+++.....................................................................+++ writing new private key to 'client-key.pem'<br />-----<br />You are about to be asked to enter information that will be incorporated<br />into your certificate request.<br />What you are about to enter is what is called a Distinguished Name or a DN.<br />There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank.<br />-----<br />Country Name (2 letter code) [GB]:TR<br />State or Province Name (full name) [Berkshire]:Kastamonu<br />Locality Name (eg, city) [Newbury]:Merkez<br />Organization Name (eg, company) [My Company Ltd]:Agguvenligi<br />Organizational Unit Name (eg, section) []:Agguvenligi<br />Common Name (eg, your name or your server's hostname) []:Agguvenligi<br />Email Address []: info@agguvenligi.net<br /><br />Please enter the following 'extra' attributes<br />to be sent with your certificate request<br />A challenge password []:<br />An optional company name []:<br /># openssl x509 -req -in client-req.pem -days 1000 -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out client-cert.pem<br />Signature ok<br />subject=/C=TR/ST=Kastamonu/L=Merkez/O=Agguvenligi/OU=Agguvenligi/CN=Agguvenligi/emailAddress= info@agguvenligi.net<br />Getting CA Private Key<br /><br /><div style="text-align: justify;">Sertifikaların oluşturulmasının ardından kullanım için MySQL sunucu tarafında sertifikaların MySQL yapılandırma dosyası içerisinde gerekli belirtimlerinin gerçekleştirilmesi gerekmektedir. Bunun için yapılandırma dosyasında sunucu taraflı yapılandırma için[mysqld] bölümü içerisine aşağıda belirtilen satırların eklenmesi gerekmektedir.</div><div style="text-align: justify;"><br /></div>[mysqld]<br />ssl-ca=/usr/local/MySQL-certs/cacert.pem<br />ssl-cert=/usr/local/MySQL-certs/server-cert.pem<br />ssl-key=/usr/local/MySQL-certs/server-key.pem<br /><br /><div style="text-align: justify;">MySQL sunucu üzerinde sunucu taraflı gerekli yapılandırmanın gerçekleştirilmesinin ardından MySQL sunucu servisi yeninden başlatılmalıdır ardından MySQL sunucu servisi üzerinde SSL kullanımının aktif olduğu görülebilecektir.</div></div><div style="text-align: justify;"><br /></div><div><table align="center" cellpadding="0" cellspacing="0" class="tr-caption-container" style="margin-left: auto; margin-right: auto; text-align: center;"><tbody><tr><td style="text-align: center;"><img src="http://www.bilgiguvenligi.gov.tr/images/stories/galkan/ekil_4_mysql_sunucu_servisi_in_ssl_kullanmnn_aktif_hale_getirilmesi.png" style="margin-left: auto; margin-right: auto;" /></td></tr><tr><td class="tr-caption" style="text-align: center;"><span style="font-size: small; text-align: start;">Şekil 2 MySQL Sunucu Servisi İçin SSL Kullanımının Aktif Hale Getirilmesi</span></td></tr></tbody></table><div style="text-align: justify;">Ardından MySQL istemcisi sertifika kullanımı için gerekli yapılandırmanın gerçekleştirilmesi gerekmektedir. Burada uzak MySQL istemcisi ile komut satırından MySQL sunucusu ile iletişim sağlanıp sorguların gerçekleştirileceği göz önünde bulundurularak, aşağıdaki adımların sırası ile takip edilmelidir. Kullanılmak istenen MySQL istemcisine gore sertifika kullanımı ile ilgili yapılandırma farklılık göstereceği unutulmamalıdır. Öncelikle sertifika yetkilisi ve istemcisi için gerekli sertifikalar MySQL istemcisi üzerinde belirlenen uygun bir dizine taşınmalıdır. Burada “/usr/local/mysql-certs” dizini olarak belirlenmiştir. İsteğe gore farklı bir dizin seçilebilmektedir.</div></div><div style="text-align: justify;"><br /></div><div><div style="text-align: justify;"><table align="center" cellpadding="0" cellspacing="0" class="tr-caption-container" style="margin-left: auto; margin-right: auto; text-align: center;"><tbody><tr><td style="text-align: center;"><img src="http://www.bilgiguvenligi.gov.tr/images/stories/galkan/ekil_5_mysql_stemcisinde_ssl_kullanm_aktif_olmadan_nce.png" style="margin-left: auto; margin-right: auto;" /></td></tr><tr><td class="tr-caption" style="text-align: center;"><span style="font-size: small; text-align: start;">Şekil 3 MySQL İstemcisinde SSL Kullanımı Aktif Olmadan Önce</span></td></tr></tbody></table></div><div style="text-align: justify;">MySQL istemcisi için SSL sertifika kullanımının durumunu “SHOW STATUS LIKE ‘Ssl_cipher’” SQL sorgusu çalıştırılarak elde edilebilir. Bu duruma örnek bir kullanım Şekil 3’de gösterilmiştir.</div><br /><div style="text-align: justify;">MySQL komut satırı istemcisinde SSL kullanımını aktif hale getirmek için yapılandırma dosyasında sertifikaların tam yolları belirtilmelidir.</div><div style="text-align: justify;"><br /></div>[client]<br />ssl-ca=/usr/local/mysql-certs/cacert.pem<br />ssl-cert=/usr/local/mysql-certs/client-cert.pem<br />ssl-key=/usr/local/mysql-certs/client-key.pem<br /><br /><div style="text-align: justify;">İlgili ayaların ardından MySQL istemcisinde “SHOW STATUS LIKE ‘Ssl_cipher’” sorgusu tekrar çalıştırılarak şifreleme için kullanılacak olan anahtar görüntülenebilir.</div></div><div style="text-align: justify;"><br /></div><div><table align="center" cellpadding="0" cellspacing="0" class="tr-caption-container" style="margin-left: auto; margin-right: auto; text-align: center;"><tbody><tr><td style="text-align: center;"><img src="http://www.bilgiguvenligi.gov.tr/images/stories/galkan/ekil_6_ifreleme_in_kullanlacak_olan_anahtarn_durumunun_grntlenmesi.png" style="margin-left: auto; margin-right: auto;" /></td></tr><tr><td class="tr-caption" style="text-align: center;"><span style="font-size: small; text-align: start;">Şekil 4 Şifreleme İçin Kullanılacak Olan Anahtarın Durumunun Görüntülenmesi</span></td></tr></tbody></table><div style="text-align: justify;">SSL kullanımının aktif olmasının ardından MySQL kullanıcılarının SSL kullanımı ile MySQL sunucu servisi ile iletişime geçmelerini zorlamak için GRANT ifadesinde “REQUIRE SSL” kullanılarak gerçekleştirilebilir. Örnek bir ifade aşağıda yer almaktadır.</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">mysql> GRANT ALL ON deneme.* TO mysqluser@192.168.6.105 IDENTIFIED BY 'sifre' REQUIRE SSL;</div><br /><div style="text-align: justify;">Bu şekilde mysqluser kullanıcısının deneme veritabanına 192.168.6.105 ip adresinden SSL kullanımı aktif olacak şekilde bağlanması zorlanmış olur. Eğer SSL kullanımı aktif olmadan bağlanmaya çalışılırsa Şekil 5’de görülen hata mesajı ile karşılaşılacaktır.</div></div><div style="text-align: justify;"><br /></div><div><table align="center" cellpadding="0" cellspacing="0" class="tr-caption-container" style="margin-left: auto; margin-right: auto; text-align: center;"><tbody><tr><td style="text-align: center;"><img src="http://www.bilgiguvenligi.gov.tr/images/stories/galkan/ekil_7_ssl_kullanm_zorlanm_mysql_kullancsnn_ssl_kullanm_olmakszn_balant_gerekletirilmesi_esnasnda_karlalan_hata_mesaj.png" style="margin-left: auto; margin-right: auto;" /></td></tr><tr><td class="tr-caption" style="text-align: center;"><span style="font-size: small; text-align: start;">Şekil 5 SSL Kullanımı Zorlanmış MySQL Kullanıcısının SSL Kullanımı Olmaksızın Bağlantı </span><span style="font-size: small; text-align: start;">Gerçekleştirilmesi Esnasında Karşılaşılan Hata Mesajı</span></td></tr></tbody></table></div><div><br /></div><div>KAYNAKLAR<br /><br />[1]<a href="http://dev.mysql.com/doc/"> http://dev.mysql.com/doc/</a><br />[2] <a href="http://www.securityfocus.com/infocus/1726">http://www.securityfocus.com/infocus/1726</a><br />[3] <a href="http://forge.mysql.com/wiki/Security_Vulnerabilities_In_MySQL_Server">http://forge.mysql.com/wiki/Security_Vulnerabilities_In_MySQL_Server</a></div>

MySQL Sunucu ve İstemci Trafiğinin Şifrelenmesi

Aksi belirtilmedikçe MySQL sunucusu ile istemcisi arasındaki ağ trafiği açık metin olarak gerçekleştirilmektedir. Aslında bu sadece MySQL’e...

Read more »