AES_DECRYPT(crypt_str,key_str[,init_vector][,kdf_name][,salt][,info | iterations])

Эта функция расшифровывает данные с помощью официального алгоритма AES (Advanced Encryption Standard). Дополнительную информацию см. в описании AES_ENCRYPT().

Операторы, использующие AES_DECRYPT(), небезопасны для репликации на основе операторов.

COMPRESS(string_to_compress)

Сжимает строку и возвращает результат в виде двоичной строки. Эта функция требует, чтобы MySQL был скомпилирован с библиотекой сжатия, такой как zlib. В противном случае возвращаемое значение всегда равно NULL. Сжатую строку можно разархивировать с помощью UNCOMPRESS().

mysql> SELECT LENGTH(COMPRESS(REPEAT('a',1000)));
        -> 21
mysql> SELECT LENGTH(COMPRESS(''));
        -> 0
mysql> SELECT LENGTH(COMPRESS('a'));
        -> 13
mysql> SELECT LENGTH(COMPRESS(REPEAT('a',16)));
        -> 15

Содержимое сжатой строки хранится следующим образом:

Если COMPRESS() вызывается из клиента mysql, двоичные строки отображаются в шестнадцатеричном формате в зависимости от значения параметра --binary-as-hex. Дополнительную информацию об этом параметре см. в Разделе 4.5.1, “mysql — The MySQL Command-Line Client”.

DECODE(crypt_str,pass_str)

DECODE() дешифрует зашифрованную строку crypt_str, используя pass_str в качестве пароля. crypt_str должна быть строкой, возвращенной функцией ENCODE().

DES_DECRYPT(crypt_str[,key_str])

Расшифровывает строку, зашифрованную с помощью DES_ENCRYPT(). При возникновении ошибки эта функция возвращает NULL.

Эта функция работает только в том случае, если MySQL настроен с поддержкой SSL. См. Раздел 6.3, “Использование защищенных соединений”.

Если аргумент key_str не указан, DES_DECRYPT() проверяет первый байт зашифрованной строки, чтобы определить номер ключа DES, который использовался для шифрования исходной строки, а затем считывает ключ из файла ключей DES для расшифровки сообщения. Для этого пользователю необходимо иметь привилегию SUPER. Файл ключей можно указать с помощью параметра сервера --des-key-file.

Если вы передаете этой функции аргумент key_str, эта строка используется в качестве ключа для расшифровки сообщения.

Если аргумент crypt_str не выглядит как зашифрованная строка, MySQL возвращает переданный аргумент crypt_str.

DES_ENCRYPT(str[,{key_num|key_str}])

Шифрует строку с помощью заданного ключа с использованием алгоритма Triple-DES.

Эта функция работает только в том случае, если MySQL настроен с поддержкой SSL. См. Раздел 6.3, “Использование защищенных соединений”.

Ключ шифрования выбирается на основе второго аргумента функции DES_ENCRYPT(), если он был указан. Без аргумента используется первый ключ из файла ключей DES. С аргументом key_num используется ключ с номером (от 0 до 9) из файла ключей DES. С аргументом key_str используется заданная строка ключа для шифрования str.

Файл ключей можно указать с помощью параметра сервера --des-key-file.

Возвращаемая строка — это двоичная строка, где первый символ — CHAR(128 | key_num). При возникновении ошибки функция DES_ENCRYPT() возвращает NULL.

128 добавляется для облегчения распознавания зашифрованного ключа. Если используется строковый ключ, key_num равно 127.

Длина результата строки определяется по следующей формуле:

new_len = orig_len + (8 - (orig_len % 8)) + 1

Каждая строка в файле ключей DES имеет следующий формат:

key_num des_key_str

Каждое значение key_num должно быть числом в диапазоне от 0 до 9. Строки в файле могут быть в любом порядке. des_key_str — это строка, используемая для шифрования сообщения. Между числом и ключом должен быть по крайней мере один пробел. Первый ключ является значением по умолчанию, которое используется, если вы не указываете никакого аргумента ключа для DES_ENCRYPT().

Вы можете указать MySQL на чтение новых значений ключей из файла ключей с помощью оператора FLUSH DES_KEY_FILE. Для этого требуется привилегия RELOAD.

Одно преимущество наличия набора ключей по умолчанию заключается в том, что это предоставляет приложениям способ проверки существования зашифрованных значений столбцов без предоставления конечному пользователю права на их расшифровку.

mysql> SELECT customer_address FROM customer_table 
     > WHERE crypted_credit_card = DES_ENCRYPT('credit_card_number');

Если DES_ENCRYPT() вызывается из клиента mysql, двоичные строки отображаются в шестнадцатеричном формате в зависимости от значения параметра --binary-as-hex. Дополнительную информацию об этом параметре см. в Разделе 4.5.1, “mysql — The MySQL Command-Line Client”.

ENCODE(str,pass_str)

ENCODE() шифрует str с использованием pass_str в качестве пароля. Результатом является двоичная строка той же длины, что и str. Для расшифровки результата используйте DECODE().

Если вам все еще нужно использовать ENCODE(), необходимо использовать с ней значение соли, чтобы уменьшить риск. Например:

ENCODE('cleartext', CONCAT('my_random_salt','my_secret_password'))

Каждое обновление пароля должно сопровождаться новым случайным значением соли.

Если ENCODE() вызывается из клиента mysql, двоичные строки отображаются в шестнадцатеричном формате в зависимости от значения параметра --binary-as-hex. Дополнительную информацию об этом параметре см. в разделе 4.5.1, «mysql — The MySQL Command-Line Client».

ENCRYPT(str[,salt])

Шифрует str с использованием системного вызова Unix crypt() и возвращает двоичную строку. Аргумент salt должен быть строкой длиной не менее двух символов, иначе результатом является NULL. Если аргумент salt не указан, используется случайное значение.

mysql> SELECT ENCRYPT('hello');
        -> 'VxuFAJXVARROc'

ENCRYPT() игнорирует все символы в str, кроме первых восьми, по крайней мере, на некоторых системах. Это поведение определяется реализацией системного вызова crypt().

Использование ENCRYPT() с многобайтовыми наборами символов ucs2, utf16, utf16le или utf32 не рекомендуется, так как системный вызов ожидает строку, завершающуюся нулевым байтом.

Если системный вызов crypt() недоступен на вашей системе (как это происходит в Windows), ENCRYPT() всегда возвращает NULL.

Если ENCRYPT() вызывается из клиента mysql, двоичные строки отображаются в шестнадцатеричном формате в зависимости от значения параметра --binary-as-hex. Дополнительную информацию об этом параметре см. в разделе 4.5.1, «mysql — The MySQL Command-Line Client».

MD5(str)

Вычисляет контрольную сумму MD5 длиной 128 бит для строки. Значение возвращается в виде строки из 32 шестнадцатеричных цифр или NULL, если аргумент был NULL. Возвращаемое значение, например, может использоваться в качестве ключа хеша. См. заметки в начале этого раздела о хранении хешей эффективно.

Возвращаемое значение — строка в наборе символов соединения.

mysql> SELECT MD5('testing');
        -> 'ae2b1fca515949e5d54fb22b8ed95575'

Это “алгоритм MD5 Message-Digest, RSA Data Security, Inc.”

См. примечание об алгоритме MD5 в начале этого раздела.

PASSWORD(str)

Возвращает строку хешированного пароля, вычисленную из открытого пароля str. Возвращаемое значение — строка в наборе символов соединения или NULL, если аргумент NULL. Эта функция является SQL-интерфейсом к алгоритму, используемому сервером для шифрования паролей MySQL для хранения в таблице привилегий mysql.user.

Системная переменная old_passwords управляет методом хеширования паролей, используемым функцией PASSWORD(). Она также влияет на хеширование паролей, выполняемое операторами CREATE USER и GRANT, которые указывают пароль с помощью клаузы IDENTIFIED BY.

В следующей таблице показано допустимое значение old_passwords для каждого метода хеширования паролей и использующие его плагины аутентификации.

Хеширование паролей SHA-256 (old_passwords=2) использует случайное значение соли, что делает результат функции PASSWORD() непредсказуемым. Вследствие этого операторы, использующие эту функцию, не подходят для репликации на основе операторов и не могут храниться в кэше запросов.

Шифрование, выполняемое функцией PASSWORD(), одностороннее (необратимое), но не является тем же типом шифрования, что и для паролей Unix.

RANDOM_BYTES(len)

Эта функция возвращает двоичную строку из len случайных байтов, сгенерированных с помощью генератора случайных чисел библиотеки SSL. Разрешённые значения len находятся в диапазоне от 1 до 1024. Для значений вне этого диапазона возникает ошибка.

RANDOM_BYTES() может использоваться для предоставления вектора инициализации для функций AES_DECRYPT() и AES_ENCRYPT(). Для использования в этом контексте len должно быть не менее 16. Допускаются более крупные значения, но байты сверх 16 игнорируются.

RANDOM_BYTES() генерирует случайное значение, что делает результат недетерминированным. Следовательно, утверждения, использующие эту функцию, небезопасны для репликации на основе утверждений и не могут храниться в кэше запросов.

Если RANDOM_BYTES() вызывается из клиента mysql, двоичные строки отображаются в шестнадцатеричном формате, в зависимости от значения параметра --binary-as-hex. Дополнительную информацию об этом параметре см. в Разделе 4.5.1, «mysql — The MySQL Command-Line Client».

SHA1(str), SHA(str)

Вычисляет контрольную сумму SHA-1 длиной 160 бит для строки, как описано в RFC 3174 (Secure Hash Algorithm). Значение возвращается в виде строки из 40 шестнадцатеричных цифр или NULL, если аргумент был NULL. Одно из возможных применений этой функции — как хэш-ключ. См. примечания в начале этого раздела о хранении хэш-значений эффективно. SHA() является синонимом SHA1().

Значение возврата — строка в кодировке набора символов соединения.

mysql> SELECT SHA1('abc');
        -> 'a9993e364706816aba3e25717850c26c9cd0d89d'

SHA1() можно рассматривать как криптографически более безопасный аналог MD5(). Однако см. примечание относительно алгоритмов MD5 и SHA-1 в начале этого раздела.

SHA2(str, hash_length)

Вычисляет семейство хэш-функций SHA-2 (SHA-224, SHA-256, SHA-384 и SHA-512). Первый аргумент — строка открытого текста, подлежащая хэшированию. Второй аргумент указывает желаемую длину результата в битах, которая должна иметь значение 224, 256, 384, 512 или 0 (что эквивалентно 256). Если любой из аргументов NULL или длина хэша не соответствует одному из разрешённых значений, возвращаемое значение — NULL. В противном случае результат функции — хэш-значение, содержащее необходимое количество битов. См. примечания в начале этого раздела о хранении хэш-значений эффективно.

Значение возврата — строка в кодировке набора символов соединения.

mysql> SELECT SHA2('abc', 224);
        -> '23097d223405d8228642a477bda255b32aadbce4bda0b3f7e36c9da7'

Эта функция работает только в том случае, если MySQL был сконфигурирован с поддержкой SSL. См. Раздел 6.3, «Использование защищённых соединений».

SHA2() можно считать криптографически более безопасной, чем MD5() или SHA1().

UNCOMPRESS(string_to_uncompress)

Распаковывает строку, сжатую функцией COMPRESS(). Если аргумент не является сжатым значением, результат — NULL. Для этой функции требуется, чтобы MySQL был скомпилирован с библиотекой сжатия, такой как zlib. В противном случае возвращаемое значение всегда NULL.

mysql> SELECT UNCOMPRESS(COMPRESS('any string'));
        -> 'any string'
mysql> SELECT UNCOMPRESS('any string');
        -> NULL

UNCOMPRESSED_LENGTH(compressed_string)

Возвращает длину сжатой строки до сжатия.

mysql> SELECT UNCOMPRESSED_LENGTH(COMPRESS(REPEAT('a',30)));
        -> 30

VALIDATE_PASSWORD_STRENGTH(str)

Принимая на вход значение открытого пароля, эта функция возвращает целое число, указывающее, насколько надёжен пароль. Возвращаемое значение колеблется от 0 (слабый) до 100 (надёжный).

Оценка пароля функцией VALIDATE_PASSWORD_STRENGTH() выполняется плагином validate_password. Если этот плагин не установлен, функция всегда возвращает 0. Для получения информации об установке validate_password см. Раздел 6.4.3, «Плагин проверки паролей». Для просмотра или настройки параметров, влияющих на тестирование паролей, проверьте или измените системные переменные, реализованные validate_password. См. Раздел 6.4.3.2, «Параметры и переменные плагина проверки паролей».

Пароль подвергается всё более строгим тестам, и возвращаемое значение отражает пройденные тесты, как показано в следующей таблице. Кроме того, если системная переменная validate_password_check_user_name включена, и пароль совпадает с именем пользователя, VALIDATE_PASSWORD_STRENGTH() возвращает 0 независимо от того, как установлены другие системные переменные validate_password.