Для создания учетной записи, использующей устаревший плагин sha256_password для хеширования паролей SHA-256, используйте следующее утверждение, где password — желаемый пароль учетной записи:

CREATE USER 'sha256user'@'localhost'
IDENTIFIED WITH sha256_password BY 'password';

Сервер назначает плагин sha256_password для учетной записи и использует его для шифрования пароля с помощью SHA-256, сохраняя эти значения в столбцах plugin и authentication_string таблицы системы mysql.user.

(Оператор IDENTIFIED WITH не нужен, если sha256_password является плагином по умолчанию; это можно указать, используя authentication_policy.)

sha256_password поддерживает подключения через безопасный транспорт. sha256_password также поддерживает обмен зашифрованными паролями с использованием RSA через незащищенные соединения, если MySQL скомпилирован с использованием OpenSSL, а MySQL-сервер, с которым вы хотите подключиться, настроен на поддержку RSA (используя процедуру конфигурации RSA, приведенную позже в этом разделе).

Поддержка RSA имеет следующие характеристики:

Для клиентов, использующих плагин sha256_password, пароли никогда не передаются в виде открытого текста при подключении к серверу. Способ передачи пароля зависит от того, используется ли безопасное соединение или шифрование RSA:

Предполагая, что MySQL был скомпилирован с использованием OpenSSL, используйте следующую процедуру, чтобы разрешить использование пары ключей RSA для обмена паролем во время процесса подключения клиента:

После настройки сервера с файлами ключей RSA учетные записи, которые аутентифицируются с помощью устаревшего плагина sha256_password, имеют возможность использовать эти файлы ключей для подключения к серверу. Как упоминалось ранее, такие учетные записи могут использовать либо защищённое соединение (в этом случае RSA не используется), либо незащищённое соединение, которое выполняет обмен паролями с использованием RSA. Предположим, что используется незащищенное соединение. Например:

$> mysql --ssl-mode=DISABLED -u sha256user -p
Enter password: password

Для этой попытки подключения учетной записи sha256user, сервер определяет, что sha256_password является подходящим плагином аутентификации и вызывает его (потому что этот плагин был указан в CREATE USER). Плагин обнаруживает, что соединение не зашифровано, и поэтому требует передачи пароля с помощью шифрования RSA. В этом случае плагин отправляет открытый ключ RSA клиенту, который использует его для шифрования пароля и возвращает результат серверу. Плагин использует закрытый ключ RSA на стороне сервера для дешифрования пароля и принимает или отклоняет подключение в зависимости от того, правильный ли пароль.

Сервер по мере необходимости отправляет открытый ключ RSA клиенту. Однако, если у клиента есть файл с локальной копией открытого ключа RSA, требуемого сервером, он может указать этот файл с помощью параметра --server-public-key-path:

$> mysql --ssl-mode=DISABLED -u sha256user -p --server-public-key-path=file_name
Enter password: password

Значение открытого ключа в файле, указанном параметром --server-public-key-path, должно совпадать со значением ключа в файле на стороне сервера, указанном переменной системы sha256_password_public_key_path. Если файл ключа содержит действительное значение открытого ключа, но значение неверно, возникает ошибка отказа в доступе. Если файл ключа не содержит действительного открытого ключа, программа клиента не может его использовать. В этом случае устаревший плагин sha256_password отправляет открытый ключ клиенту, как будто параметр --server-public-key-path не был указан.

Пользователи клиентов могут получить открытый ключ RSA двумя способами: