Для настройки учетной записи, использующей плагин sha256_password для хеширования паролей SHA-256, используйте следующую команду, где password — желаемый пароль учетной записи:

CREATE USER 'sha256user'@'localhost'
IDENTIFIED WITH sha256_password BY 'password';

Сервер назначит плагин sha256_password для учетной записи и будет использовать его для шифрования пароля с помощью SHA-256, сохраняя эти значения в столбцах plugin и authentication_string таблицы системы mysql.user.

В предыдущих инструкциях не предполагается, что плагин sha256_password является стандартным плагином аутентификации. Если плагин sha256_password является стандартным плагином аутентификации, можно использовать более простую синтаксис CREATE USER.

Для запуска сервера со стандартным плагином аутентификации, установленным на sha256_password, добавьте эти строки в файл опций сервера:

[mysqld]
default_authentication_plugin=sha256_password

Это приведет к тому, что плагин sha256_password будет использоваться по умолчанию для новых учетных записей. В результате, можно создать учетную запись и установить её пароль, не называя плагин явно:

CREATE USER 'sha256user'@'localhost' IDENTIFIED BY 'password';

Другим следствием установки default_authentication_plugin на sha256_password является то, что для использования другого плагина для создания учетной записи необходимо явно указать этот плагин. Например, для использования плагина mysql_native_password используйте следующую команду:

CREATE USER 'nativeuser'@'localhost'
IDENTIFIED WITH mysql_native_password BY 'password';

sha256_password поддерживает подключения через безопасный транспорт. sha256_password также поддерживает обмен зашифрованными паролями с использованием RSA по незащищенным подключениям, если выполнены следующие условия:

Поддержка RSA обладает следующими характеристиками:

Для клиентов, использующих плагин sha256_password, пароли никогда не передаются в открытом виде при подключении к серверу. Способ передачи паролей зависит от того, используется ли безопасное соединение или шифрование RSA:

Как упоминалось ранее, шифрование паролей RSA доступно только если MySQL скомпилирован с использованием OpenSSL. Следствием для дистрибутивов MySQL, скомпилированных с использованием yaSSL, является то, что для использования паролей SHA-256 клиенты должны использовать защищенное подключение для доступа к серверу. См. Раздел 6.3.1, «Настройка MySQL для использования защищенных подключений».

Предполагая, что MySQL скомпилирован с использованием OpenSSL, следуйте процедуре для включения использования пары ключей RSA для обмена паролями во время подключения клиента:

После того, как сервер настроен с файлами ключей RSA, учетные записи, которые проходят аутентификацию с помощью плагина sha256_password, могут использовать эти файлы ключей для подключения к серверу. Как упоминалось ранее, такие учетные записи могут использовать как защищенное подключение (в этом случае RSA не используется), так и незащищенное подключение, которое выполняет обмен паролями с использованием RSA. Предположим, используется незащищенное подключение. Например:

$> mysql --ssl-mode=DISABLED -u sha256user -p
Enter password: password

Для этой попытки подключения от sha256user сервер определяет, что sha256_password является подходящим модулем аутентификации и вызывает его (потому что этот модуль был указан во время CREATE USER). Модуль обнаруживает, что подключение не зашифровано и, следовательно, требует передачи пароля с использованием шифрования RSA. В этом случае модуль отправляет открытый ключ RSA клиенту, который использует его для шифрования пароля и возвращает результат серверу. Модуль использует закрытый ключ RSA на стороне сервера для расшифровки пароля и принимает или отклоняет подключение в зависимости от того, правильный ли пароль.

Сервер отправляет открытый ключ RSA клиенту по мере необходимости. Однако если у клиента есть файл с локальной копией открытого ключа RSA, требуемого сервером, он может указать этот файл с помощью опции --server-public-key-path:

$> mysql --ssl-mode=DISABLED -u sha256user -p --server-public-key-path=file_name
Enter password: password

Значение открытого ключа в файле, указанном опцией --server-public-key-path, должно совпадать со значением ключа в файле на стороне сервера, указанном переменной системы sha256_password_public_key_path. Если файл ключа содержит корректное значение открытого ключа, но значение неверно, возникает ошибка доступа запрещён. Если файл ключа не содержит корректного открытого ключа, клиентская программа не может его использовать. В этом случае модуль sha256_password отправляет открытый ключ клиенту так, как будто опция --server-public-key-path не была указана.

Клиентские пользователи могут получить открытый ключ RSA двумя способами: