mysql数据库没有客户端身份验证插件怎么解决

Posted 2023-04-25

在 SQL Server Management Studio 的对象资源管理器中，右键单击服务器，再单击“属性”。 在“安全性”页上的“服务器身份验证”下，选择新的服务器身份验证模式，再单击“确定”。 参考技术A

现象

一线的工程师反映了一个奇怪的现象，刚刚从 mysql 官网上下载了一个 MySQL 5.7.31。安装完成后，发现使用任何密码都能登陆 MySQL，修改密码也不管用，重新启动 MySQL 也不能解决。

分析

怀疑使用了 --skip-grant-tables 使用 mysqld --print-defaults 检查，没有发现。

检查登陆用户，都是 root@localhost，说明和 proxy user 没有关系。

使用 mysql --print-defaults 检查客户端是否设置默认的用户和密码，没有发现。

发现一切都正常，再检查 plugin 字段，发现只有 root 用户是 auth_socket ，其它的用户都是 mysql_native_password，问题可能就出在这儿。

问题解决

对 auth_socket 验证插件不了解，感觉是这个插件不安全，使用下面的命令修改后，问题解决：

update user set plugin="mysql_native_password" where user='root';

auth_socket 验证插件的使用场景

问题解决后，又仔细研究了一下 auth_socket 这个插件，发现这种验证方式有以下特点：

首先，这种验证方式不要求输入密码，即使输入了密码也不验证。这个特点让很多人觉得很不安全，实际仔细研究一下这种方式，发现还是相当安全的，因为它有另外两个限制；

只能用 UNIX 的 socket 方式登陆，这就保证了只能本地登陆，用户在使用这种登陆方式时已经通过了操作系统的安全验证；

操作系统的用户和 MySQL 数据库的用户名必须一致，例如你要登陆 MySQL 的 root 用户，必须用操作系统的 root 用户登陆。

auth_socket 这个插件因为有这些特点，它很适合我们在系统投产前进行安装调试的时候使用，而且也有相当的安全性，因为系统投产前通常经常同时使用操作系统的 root 用户和 MySQL 的 root 用户。当我们在系统投产后，操作系统的 root 用户和 MySQL 的 root 用户就不能随便使用了，这时可以换成其它的验证方式，可以使用下面的命令进行切换：

ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY 'test';

浅谈 MySQL 新的身份验证插件 caching_sha2_password

介绍

从 MySQL 8.0.4 开始，MySQL 默认身份验证插件从 mysql_native_password  改为 caching_sha2_password 。相应地，libmysqlclient 也使用 caching_sha2_password 作为默认的身份验证机制。

起因

在这之前 MySQL 5.6/5.7 使用的默认密码插件是 mysql_native_password。mysql_native_password 的特点是不需要加密的连接。该插件验证速度特别快，但是不够安全，因为，mysql_native_password 使用的是于 SHA1 算法，NIST（美国国家标准与技术研究院）在很早之前就已建议停止使用 SHA1 算法，因为 SHA1 和其他哈希算法（例如 MD5）容易被破解。

其实从 MySQL 5.6 开始就引入了更安全的认证机制：ha256_password 认证插件。它使用一个加盐密码（salted password）进行多轮 SHA256 哈希（数千轮哈希，暴力破解更难），以确保哈希值转换更安全。但是，建立安全连接和多轮 hash 加密很耗费时间。虽然安全性更高，但是验证速度不够快。

改进

MySQL 试图结合二者的优点。于是在 MySQL-8.0.3  引入了一个新的身份验证插件 caching_sha2_password ，作为sha256_password的代替方案，在sha256_password 的基础上进行了改进补上了短板，既解决安全性问题又解决性能问题。与此同时 sha256_password将退出时代的浪潮。MySQL 预计在未来版本中将其删除。使用 sha256_password 进行身份验证的 MySQL 账户建议转为 caching_sha2_password。

结果

因为默认身份验证机制的更改，大家在使用 MySQL 8.0 时候出现了很多相关的问题。网上的大部分教程都是教人改回mysql_native_password验证方式  mysql_native_password。但是笔者认为，MySQL 更改默认插件是为了更好的安全性考虑。如果有 MySQL 服务要公网上使用，建议还是尽量使用 caching_sha2_password作为认证插件。

示例：使用旧版本客户端连接时报错：

shell> mysql -uroot -p
ERROR 2059 (HY000): Authentication plugin 'caching_sha2_password' cannot be loaded

具体机制分析

mysql_native_password

mysql_native_password 作为 MySQL 5.6/5.7 的默认密码插件 。其优点是它支持 challenge-response （挑战应答方式），这是非常快的验证机制，无需在网络中发送实际密码，并且不需要加密的连接。

客户端连接MySQL实例时，首先需要从服务器端获得一个20字节的随机数。

此外，mysql_native_password 使用了新的哈希算法进行认证校验。对于用户的原始密码，通过SHA1(SHA1(password))两次哈希计算结果保存在 mysql.user 表的 authentication_string 列中。其中用户密码通过哈希计算后保存，没有加盐（salt）。

通过上述这样的处理，MySQL数据库本身已然非常安全。然而，随着时间的推移，目前存在以下两种潜在风险：

• SHA1哈希算法也已经变得比较容易破解。

• 相同的密码拥有相同的哈希值。

SHA1、MD5等之前的哈希算法都已然不再安全，更为安全的SHA256、SHA512哈希算法也已推出。作为数据存储最终承载者，应该使用更新的加密机制机制。

caching_sha2_password

在cache_sha2_password密码认证机制下，其改进如下所示：

• 保存在 authentication_string 中的哈希值为加盐后的值，即使两个不同用户的密码相同，保存在计算机中的哈希值也不同。

• 哈希算法升级为了更为安全SHA256算法。

• 哈希算法的 round 次数从原来的两次，提升为了5000次，round次数越多，每次计算哈希值的代价越大，破解难度也就越大。

• 用TLS的加密或RSA密钥传输方式从客户端将密码传送到服务端。

caching_sha2_password 通讯过程解析

1. 对于大多数连接尝试，当密码的哈希值有缓存在内存中时，它的验证是基于 SHA256 的challenge-response机制（与 mysql_native_password 中基于 SHA1 的challenge-response机制相比更快），下图演示了在有哈希缓存时的验证流程。

 challenge-response 的认证模式

从图中我们看到，客户端对密码进行多重哈希加密生成 Scramble 发送给服务端， 服务端检查内存的缓存（memory cache）中是否存在该条目。当值在缓存中存在证明本次连接合法，服务器会告诉客户端快速认证成功：发送 fast_auth_success 包到客户端，并且发送确认报文。然后服务器就可以和客户端正常通信了。

1. 当没有这种缓存时，caching_sha2_password 需要使用安全连接（SSL/STL）进行密码交换。考虑到用户更改和 FLUSH PRIVILEGES 操作频率比较低，所以在大多数情况下，使用的都是基于challenge-response的身份验证，不用建立安全连接。这省去了建立安全连接需要耗费的资源。下图总结了完整的验证流程。

从图中我们看到，服务器在收到 Scramble 后,发现缓存中没有对应的值，服务器会告诉客户端，要建立安全连接使用完整的身份验证流程：发送 perform_full_authentication 包到客户端，之后客户端接收服务器的公钥（公钥文件如果已存在就省去这个步骤）。如果安全连接（SSL/STL）已经建立基于 ，则可以直接发送明文密码到服务端。如果没有安全连接，客户端就会 向服务端发起获取公钥的请求（或者指定服务端公钥文件），使用公钥加密密码，发送到服务端。服务器通过 SHA256 算法计算得到哈希值，判断是否用户认证通过，通过则发送 OK 包到客户端。然后服务器就可以和客户端正常通信了。

这里详细解释一下 RSA 非对称加密的通信过程：

首先先明确一个概念：非对称加密算法中，有两个密钥：公钥和私钥。如果用公钥进行加密，只有对应的私钥才能解密；反之亦然。

RSA 密钥交换过程：

1.服务器生成一对密钥并将公钥向其他方公开（以明文发送给客户端）。

2.客户端使用服务器的公钥对密码进行加密后发送给服务器。

3.服务器用对应的私钥对加密信息进行解密。

因为客户端用公钥加密的信息只能用服务器的私钥解密，所以这个连接过程可以视为加密通信。

需要注意的地方

默认身份验证插件的更改意味着：

在 MySQL 8.0.4 之后创建的所有新用户将默认使用 caching_sha2_password 作为身份验证插件。

mysql> SELECT USER,PLUGIN FROM mysql.`user` ;
+------------------+-----------------------+
| USER             | PLUGIN                |
+------------------+-----------------------+
| root             | caching_sha2_password |
| mysql.infoschema | caching_sha2_password |
| mysql.session    | caching_sha2_password |
| mysql.sys        | caching_sha2_password |
+------------------+-----------------------+
6 rows in set (0.06 sec)

libmysqlclient 默认使用 caching_sha2_password，可以通过手动修改切换到其他的身份验证插件。

使用 caching_sha2_password 插件的客户端，连接到服务器时，不会使用名为密码。密码传输是如何进行的取决于是否使用安全连接或 RSA 对密码加密：

• 如果连接是安全的，可以不使用 RSA 密钥。适用于使用 TLS 加密的 TCP 连接，以及 Unix 套接字文件和共享内存连接。密码以明文格式发送，但不能被窃听，因为连接是安全的。

• 如果连接不是安全的，可以使用 RSA 密钥对。适用于未使用 TLS 加密的 TCP 连接和 named-pipe 连接。RSA 仅用于客户端和服务器之间的密码交换，防止密码被截取。当服务器接收到使用公钥加密的密码后，它使用私钥解密。一个随机字符串用在加密中，防止重放攻击（repeat attacks）。

在 MySQL 8.0.3 以上版本中。默认自动完成  RSA 密钥对进行密码交换。

关于主从复制

如果用于复制的用户使用了 caching_sha2_password身份验证插件，并且没有启用安全连接（ 在group_replication_recovery 启用SSL支持），MySQL 将使用 RSA 密钥对进行密码的交换，可以把主节点的公钥手动拷贝到从节点的服务器中，也可以设置成：自动为请求加入组的节点提供公钥。

复制本身是支持加密的连接。在 MySQL 8.0.4中，添加了复制对 RSA 加密的支持。

• CHANGE MASTER 可以通过以下个参数来启用基于 caching_sha2_password RSA 密钥来交换密码：

  指定 RSA 公钥路径
  - MASTER_PUBLIC_KEY_PATH ="key_file_path"  
   
   #从服务端获取 RSA 公钥
  - GET_MASTER_PUBLIC_KEY = 0 | 1

• Group Replication 可以通过以下个参数来启用基于 caching_sha2_password RSA 密钥来交换密码：

  #指定 RSA 公钥路径
  ––group-replication-recovery-public-key-path
  #从服务端获取 RSA 公钥
  ––group-replication-recovery-get-public-key

数据库升级

数据库升级到 MySQL 8.0.4 会怎样？

在升级之前创建的用户，身份认证插件不会更改。在升级之后创建的用户默认使用 aching_sha2_password身份验证插件。除非使用 --default-authentication-plugin 手动指定认证插件插件。因为不会更改升级前已有用户。因此，使用升级后依然可以用旧版本的客户端连接这些用户。

相应地，libmysqlclient 支持 mysql_options() C API函数的 MYSQL_DEFAULT_AUTH 选项。（对于 MySQL 包中可用的基于 libmysqlclient 的客户端工具，可以用 ––default-auth 命令行选项达到相同的目的。）

建议使用 cache_sha2_password 因为它更安全。并且升级 libmysqlclient 到 MySQL 8.0.4 或更高版本，以便支持新的身份验证插件。

参考资料

[MySQL 8.0.4 : New Default Authentication Plugin]

 caching_sha2_password]https://dev.mysql.com/blog-archive/mysql-8-0-4-new-default-authentication-plugin-caching_sha2_password

[得物技术浅谈MySQL 8.0：新的身份验证插件]

https://segmentfault.com/a/1190000040733952

[MySQL 8.0密码认证机制升级，不知道可能导致业务不可用！！]

https://mp.weixin.qq.com/s/jfoH6D8NfoaNN7eexbzKGA

[组复制安装部署 | 全方位认识 MySQL 8.0 Group Replication]

https://mp.weixin.qq.com/s/sydu0alXDECcHm5GNMvtdA

Enjoy GreatSQL :)

---

《深入浅出MGR》视频课程

戳此小程序即可直达B站

https://www.bilibili.com/medialist/play/1363850082?business=space_collection&business_id=343928&desc=0

---

文章推荐：

• MySQL批量导入数据时，为何表空间膨胀了N倍

• 破解LIMIT和OFFSET分页性能瓶颈

• 如何干涉MySQL优化器使用hash join？

• 从join的实现窥探MySQL迭代器

• 图文解读MySQL InnoDB Undo log
  

• 跑步10年回望
  

• MySQL中WHERE后跟着N多个OR条件会怎样。。。

• 图文结合带你搞懂InnoDB MVCC
  

• 现在还可以买基金吗，非软文哦

• 简明binlog event解析    
  

---

想看更多技术好文，点个“在看”吧！