InnoDB использует двухступенчатую архитектуру ключей шифрования, состоящую из главного ключа шифрования и ключей табличных пространств. При шифровании табличного пространства ключ табличного пространства шифруется и хранится в заголовке табличного пространства. При попытке доступа к зашифрованным данным приложением или авторизованным пользователем, InnoDB использует главный ключ шифрования для расшифровки ключа табличного пространства. Расшифрованная версия ключа табличного пространства никогда не изменяется, но главный ключ шифрования может быть изменён по мере необходимости. Это действие называется вращением главного ключа.

Функция шифрования данных при хранении на диске полагается на плагин keyring для управления главным ключом шифрования.

Все редакции MySQL предоставляют плагин keyring_file, который хранит данные keyring в файле, локальном для хоста сервера.

MySQL Enterprise Edition предлагает дополнительные плагины keyring:

Безопасное и надёжное решение для управления ключами шифрования имеет решающее значение для безопасности и соответствия различным стандартам безопасности. Когда функция шифрования данных при хранении на диске использует централизованное решение управления ключами, функция называется “Прозрачное шифрование данных MySQL Enterprise (TDE)”.

Функция шифрования данных при хранении на диске поддерживает алгоритм блочного шифрования Advanced Encryption Standard (AES). Она использует режим блочного шифрования Electronic Codebook (ECB) для шифрования ключа табличного пространства и режим блочного шифрования Cipher Block Chaining (CBC) для шифрования данных.

Для часто задаваемых вопросов о функции шифрования данных при хранении на диске см. Раздел A.17, «MySQL 5.7 FAQ: InnoDB Шифрование данных InnoDB при хранении на диске».

Для включения шифрования для нового табличного пространства на основе файла на таблицу укажите параметр ENCRYPTION в операторе CREATE TABLE. В примере предполагается, что параметр innodb_file_per_table включен.

mysql> CREATE TABLE t1 (c1 INT) ENCRYPTION='Y';

Для включения шифрования для существующего табличного пространства на основе файла на таблицу укажите параметр ENCRYPTION в операторе ALTER TABLE.

mysql> ALTER TABLE t1 ENCRYPTION='Y';

Для отключения шифрования табличного пространства на основе файла на таблицу, установите ENCRYPTION='N' с помощью оператора ALTER TABLE.

mysql> ALTER TABLE t1 ENCRYPTION='N';

Главный ключ шифрования следует периодически вращать и всякий раз, когда вы подозреваете, что ключ был скомпрометирован.

Вращение главного ключа — это атомарная операция на уровне экземпляра. Каждый раз, когда вращается главный ключ шифрования, все ключи табличных пространств в экземпляре MySQL перешифровываются и сохраняются обратно в соответствующие заголовки табличных пространств. Как атомарная операция, перешифровка должна быть успешной для всех ключей табличных пространств после инициации операции вращения. Если операция вращения главного ключа прерывается сбоем сервера, InnoDB продолжит операцию при перезапуске сервера. Подробнее см. в разделе Шифрование и восстановление.

Вращение главного ключа шифрования изменяет только главный ключ шифрования и перешифровывает ключи табличных пространств. Оно не расшифровывает и не перешифровывает связанные данные табличных пространств.

Для вращения главного ключа шифрования требуется привилегия SUPER.

Для вращения главного ключа шифрования выполните:

mysql> ALTER INSTANCE ROTATE INNODB MASTER KEY;

ALTER INSTANCE ROTATE INNODB MASTER KEY поддерживает одновременные DML-операции. Однако его нельзя выполнять одновременно с операциями шифрования табличных пространств, и блокировки используются для предотвращения конфликтов, которые могут возникнуть при одновременном выполнении. Если операция ALTER INSTANCE ROTATE INNODB MASTER KEY выполняется, она должна завершиться, прежде чем сможет начаться операция шифрования табличного пространства, и наоборот.

Если во время операции шифрования произойдёт сбой сервера, операция будет продолжена при перезапуске сервера.

Если во время смены главного ключа произойдёт сбой сервера, InnoDB продолжит операцию при перезапуске сервера.

Плагин keyring должен быть загружен до инициализации движка хранения, чтобы информация, необходимая для расшифровки страниц данных табличного пространства, могла быть извлечена из заголовков табличного пространства до InnoDB инициализации и операций восстановления доступа к данным табличного пространства. (См. Требования к шифрованию.)

Когда InnoDB начнется инициализация и восстановление, операция смены главного ключа возобновится. Из-за сбоя сервера некоторые ключи табличного пространства могут быть уже зашифрованы с использованием нового главного ключа шифрования. InnoDB считывает данные шифрования из каждого заголовка табличного пространства, и если данные указывают, что ключ табличного пространства зашифрован с использованием старого главного ключа шифрования, InnoDB извлекает старый ключ из keyring и использует его для расшифровки ключа табличного пространства. InnoDB затем зашифрует ключ табличного пространства повторно с использованием нового главного ключа шифрования и сохранит зашифрованный ключ табличного пространства обратно в заголовок табличного пространства.

При экспорте зашифрованного табличного пространства, InnoDB генерирует ключ переноса, который используется для шифрования ключа табличного пространства. Зашифрованный ключ табличного пространства и ключ переноса хранятся в файле tablespace_name.cfp. Этот файл вместе с зашифрованным файлом табличного пространства необходим для выполнения операции импорта. При импорте InnoDB использует ключ переноса для расшифровки ключа табличного пространства в файле tablespace_name.cfp. Для получения дополнительной информации см. Раздел 14.6.1.3, «Импорт таблиц InnoDB».

Когда опция ENCRYPTION указана в операторе CREATE TABLE или ALTER TABLE, она записывается в столбец CREATE_OPTIONS таблицы Информационной Схемы TABLES. Этот столбец можно запросить для идентификации таблиц, которые находятся в зашифрованных табличных пространствах с файлом на таблицу.

mysql> SELECT TABLE_SCHEMA, TABLE_NAME, CREATE_OPTIONS FROM INFORMATION_SCHEMA.TABLES
       WHERE CREATE_OPTIONS LIKE '%ENCRYPTION%';
+--------------+------------+----------------+
| TABLE_SCHEMA | TABLE_NAME | CREATE_OPTIONS |
+--------------+------------+----------------+
| test         | t1         | ENCRYPTION="Y" |
+--------------+------------+----------------+

Запросите таблицу INFORMATION_SCHEMA.INNODB_SYS_TABLESPACES, чтобы получить информацию о табличном пространстве, связанном со схемой и таблицей.

mysql> SELECT SPACE, NAME, SPACE_TYPE FROM INFORMATION_SCHEMA.INNODB_SYS_TABLESPACES WHERE NAME='test/t1';
+-------+---------+------------+
| SPACE | NAME    | SPACE_TYPE |
+-------+---------+------------+
|     3 | test/t1 | Single     |
+-------+---------+------------+