InnoDB использует двухступенчатую архитектуру ключей шифрования, состоящую из главного ключа шифрования и ключей табличных пространств. При шифровании табличного пространства ключ табличного пространства шифруется и хранится в заголовке табличного пространства. Когда приложение или авторизованный пользователь хотят получить доступ к зашифрованным данным табличного пространства, InnoDB использует главный ключ шифрования для расшифровки ключа табличного пространства. Расшифрованная версия ключа табличного пространства никогда не меняется, но главный ключ шифрования можно изменить по мере необходимости. Этот процесс называется вращением главного ключа.

Функция шифрования данных в состоянии покоя полагается на компонент или плагин keyring для управления главным ключом шифрования.

Все редакции MySQL предоставляют компонент component_keyring_file, который хранит данные keyring в файле, локальном для хоста сервера.

MySQL Enterprise Edition предлагает дополнительные компоненты и плагины keyring:

Безопасное и надежное решение для управления ключами шифрования имеет решающее значение для обеспечения безопасности и соответствия различным стандартам безопасности. Когда функция шифрования данных в состоянии покоя использует централизованное решение для управления ключами, функция называется “Прозрачное шифрование данных MySQL Enterprise (TDE)”.

Функция шифрования данных в состоянии покоя поддерживает алгоритм шифрования на основе блоков Advanced Encryption Standard (AES). Она использует режим шифрования Electronic Codebook (ECB) для шифрования ключей табличных пространств и режим шифрования Cipher Block Chaining (CBC) для шифрования данных.

Часто задаваемые вопросы о функции шифрования данных в состоянии покоя см. в Раздел A.17, «MySQL 9.2 FAQ: Шифрование данных InnoDB в состоянии покоя».

Переменная системы default_table_encryption определяет значение шифрования по умолчанию для схем и общих табличных пространств. Операции CREATE TABLESPACE и CREATE SCHEMA применяют значение default_table_encryption, если явно не указан параметр ENCRYPTION.

Операции ALTER SCHEMA и ALTER TABLESPACE не применяют значение default_table_encryption. Для изменения шифрования существующей схемы или общего табличного пространства необходимо явно указать параметр ENCRYPTION.

Переменная default_table_encryption может быть установлена для индивидуального клиентского подключения или глобально с помощью синтаксиса SET. Например, следующая команда глобально включает шифрование по умолчанию для схем и табличных пространств:

mysql> SET GLOBAL default_table_encryption=ON;

Значение шифрования по умолчанию для схемы также можно определить с помощью параметра DEFAULT ENCRYPTION при создании или изменении схемы, как в этом примере:

mysql> CREATE SCHEMA test DEFAULT ENCRYPTION = 'Y';

Если параметр DEFAULT ENCRYPTION не указан при создании схемы, применяется значение default_table_encryption. Для изменения значения шифрования по умолчанию существующей схемы требуется указать параметр DEFAULT ENCRYPTION. В противном случае схема сохранит текущее значение шифрования.

По умолчанию таблица наследует значение шифрования схемы или общего табличного пространства, в котором она создана. Например, таблица, созданная в схеме с включённым шифрованием, по умолчанию шифруется. Это позволяет администратору базы данных управлять использованием шифрования таблиц, определяя и применяя значения шифрования по умолчанию для схем и общих табличных пространств.

Значения шифрования по умолчанию применяются, если включена переменная системы table_encryption_privilege_check. При включённой переменной table_encryption_privilege_check происходит проверка привилегий при создании или изменении схемы или общего табличного пространства с параметром шифрования, отличным от default_table_encryption, а также при создании или изменении таблицы с параметром шифрования, отличным от шифрования по умолчанию схемы. Если table_encryption_privilege_check отключена (по умолчанию), проверка привилегий не выполняется, и указанные операции могут выполняться с предупреждением.

Для переопределения значений шифрования по умолчанию, когда table_encryption_privilege_check включена, требуется привилегия TABLE_ENCRYPTION_ADMIN. Администратор базы данных может предоставить эту привилегию пользователю, чтобы разрешить отклонение от значения default_table_encryption при создании или изменении схемы или общего табличного пространства, или отклонение от шифрования по умолчанию схемы при создании или изменении таблицы. Эта привилегия не позволяет отклоняться от шифрования общего табличного пространства при создании или изменении таблицы. Таблица должна иметь такое же значение шифрования, как и общее табличное пространство, в котором она находится.

Табличное пространство на основе файла за таблицей наследует значение шифрования по умолчанию схемы, в которой создается таблица, если явно не указан параметр ENCRYPTION в операторе CREATE TABLE.

mysql> CREATE TABLE t1 (c1 INT) ENCRYPTION = 'Y';

Для изменения шифрования существующего табличного пространства на основе файла за таблицей необходимо явно указать параметр ENCRYPTION.

mysql> ALTER TABLE t1 ENCRYPTION = 'Y';

Если table_encryption_privilege_check включено, использование параметра ENCRYPTION с значением, отличным от значения шифрования по умолчанию схемы, требует привилегии TABLE_ENCRYPTION_ADMIN. См. Определение значения шифрования по умолчанию для схем и общих табличных пространств.

Переменная default_table_encryption определяет значение шифрования вновь созданного общего табличного пространства, если не указан явно параметр ENCRYPTION в операторе CREATE TABLESPACE.

mysql> CREATE TABLESPACE `ts1` ADD DATAFILE 'ts1.ibd' ENCRYPTION = 'Y' Engine=InnoDB;

Для изменения шифрования существующего общего табличного пространства необходимо указать параметр ENCRYPTION.

mysql> ALTER TABLESPACE ts1 ENCRYPTION = 'Y';

Если table_encryption_privilege_check включено, использование параметра ENCRYPTION со значением, отличным от значения default_table_encryption, требует привилегии TABLE_ENCRYPTION_ADMIN. См. Определение значения шифрования по умолчанию для схем и общих табличных пространств.

В MySQL 9.2, InnoDB автоматически шифрует страницы файла doublewrite, принадлежащие зашифрованным табличным пространствам. Никаких действий не требуется. Страницы файла doublewrite шифруются с помощью ключа шифрования соответствующего табличного пространства. Та же зашифрованная страница, записанная в файле данных табличного пространства, также записывается в файл doublewrite. Страницы файла doublewrite, принадлежащие незашифрованному табличному пространству, остаются незашифрованными.

Во время восстановления зашифрованные страницы файла doublewrite расшифровываются и проверяются на наличие повреждений.

Системное табличное пространство mysql содержит таблицы системной базы данных mysql и словаря данных MySQL. По умолчанию оно незашифровано. Для включения шифрования для системного табличного пространства mysql укажите имя табличного пространства и опцию ENCRYPTION в операторе ALTER TABLESPACE.

mysql> ALTER TABLESPACE mysql ENCRYPTION = 'Y';

Для отключения шифрования для системного табличного пространства mysql установите значение ENCRYPTION = 'N' с помощью оператора ALTER TABLESPACE.

mysql> ALTER TABLESPACE mysql ENCRYPTION = 'N';

Для включения или отключения шифрования для системного табличного пространства mysql требуется привилегия CREATE TABLESPACE на все таблицы в экземпляре (CREATE TABLESPACE on *.*)).

Шифрование данных журнала редо включается с помощью опции конфигурации innodb_redo_log_encrypt. По умолчанию шифрование журнала редо отключено.

Как и с данными табличного пространства, шифрование данных журнала редо происходит при записи данных в журнал на диск, а расшифровка происходит при чтении данных из журнала. После чтения данных в память данные находятся в незашифрованном виде. Данные журнала редо шифруются и расшифровываются с помощью ключа шифрования табличного пространства.

При включении innodb_redo_log_encrypt, незашифрованные страницы журнала редо, присутствующие на диске, остаются незашифрованными, а новые страницы записываются на диск в зашифрованном виде. Аналогично, при отключении innodb_redo_log_encrypt, зашифрованные страницы журнала редо, присутствующие на диске, остаются зашифрованными, а новые страницы записываются на диск в незашифрованном виде.

Метаданные шифрования журнала редо, включая ключ шифрования табличного пространства, хранятся в заголовке файла журнала редо с самым последним LSN контрольной точки. Если файл журнала редо с метаданными шифрования удален, шифрование журнала редо отключается.

После включения шифрования журнала редо, нормальный перезапуск без компонента или плагина keyring или без ключа шифрования невозможен, так как InnoDB должен иметь возможность сканировать страницы журнала редо во время запуска, что невозможно, если страницы журнала редо зашифрованы. Без компонента или плагина keyring или без ключа шифрования возможен только принудительный запуск без журналов редо (SRV_FORCE_NO_LOG_REDO). См. Раздел 17.20.3, «Принудительное восстановление InnoDB».

Шифрование данных журнала отката включено с помощью опции конфигурации innodb_undo_log_encrypt. Шифрование журнала отката применяется к журналам отката, которые находятся в . См. Раздел 17.6.3.4, «Пространства таблиц отката». Шифрование данных журнала отката по умолчанию отключено.

Как и с данными пространства таблиц, шифрование данных журнала отката происходит при записи данных журнала отката на диск, а расшифровка происходит при чтении данных журнала отката с диска. После того, как данные журнала отката считаны в память, они находятся в нешифрованном виде. Данные журнала отката шифруются и расшифровываются с помощью ключа шифрования пространства таблиц.

Когда innodb_undo_log_encrypt включено, нешифрованные страницы журнала отката, которые присутствуют на диске, остаются нешифрованными, а новые страницы журнала отката записываются на диск в зашифрованном виде. Аналогично, когда innodb_undo_log_encrypt отключено, зашифрованные страницы журнала отката, которые присутствуют на диске, остаются зашифрованными, а новые страницы журнала отката записываются на диск в незашифрованном виде.

Метаданные шифрования журнала отката, включая ключ шифрования пространства таблиц, хранятся в заголовке файла журнала отката.

Главный ключ шифрования следует периодически изменять и всякий раз, когда вы подозреваете, что ключ был скомпрометирован.

Вращение главного ключа шифрования — это атомарная операция на уровне экземпляра. Каждый раз, когда вращается главный ключ шифрования, все ключи пространства таблиц в экземпляре MySQL повторно шифруются и сохраняются обратно в заголовки соответствующих пространств таблиц. Как атомарная операция, повторное шифрование должно быть выполнено для всех ключей пространства таблиц после начала операции вращения. Если операция вращения главного ключа шифрования прерывается сбоем сервера, InnoDB продолжает операцию при перезапуске сервера. Более подробная информация приведена в разделе Шифрование и восстановление.

Вращение главного ключа шифрования изменяет только главный ключ шифрования и повторно шифрует ключи пространств таблиц. Оно не расшифровывает и не перешифровывает связанные данные пространства таблиц.

Для вращения главного ключа шифрования требуется привилегия ENCRYPTION_KEY_ADMIN (или устаревшая привилегия SUPER).

Чтобы повернуть главный ключ шифрования, выполните:

mysql> ALTER INSTANCE ROTATE INNODB MASTER KEY;

ALTER INSTANCE ROTATE INNODB MASTER KEY поддерживает одновременные операции DML. Однако его нельзя выполнять одновременно с операциями шифрования пространства таблиц, и блокировки накладываются, чтобы предотвратить конфликты, которые могут возникнуть при одновременном выполнении. Если операция ALTER INSTANCE ROTATE INNODB MASTER KEY выполняется, она должна завершиться до начала операции шифрования пространства таблиц, и наоборот.

Если во время операции шифрования происходит сбой сервера, операция возобновляется при перезапуске сервера. Для общих пространств таблиц операция шифрования возобновляется в фоновом потоке с последней обработанной страницы.

Если во время вращения главного ключа шифрования происходит сбой сервера, InnoDB продолжает операцию при перезапуске сервера.

Компонент или плагин keyring необходимо загрузить до инициализации движка хранения, чтобы информация, необходимая для расшифровки страниц данных пространства таблиц, могла быть получена из заголовков пространств таблиц до того, как InnoDB инициализации и восстановления доступа к данным пространства таблиц. (См. Предварительные условия шифрования).

Когда InnoDB инициализация и восстановление начинаются, операция вращения главного ключа возобновляется. Из-за сбоя сервера некоторые ключи пространств таблиц могут быть уже зашифрованы с использованием нового главного ключа шифрования. InnoDB считывает данные шифрования из каждого заголовка пространства таблиц, и если данные указывают, что ключ пространства таблиц зашифрован с использованием старого главного ключа шифрования, InnoDB извлекает старый ключ из keyring и использует его для расшифровки ключа пространства таблиц. InnoDB затем повторно шифрует ключ пространства таблиц с использованием нового главного ключа шифрования и сохраняет перешифрованный ключ пространства таблиц обратно в заголовок пространства таблиц.

Экспорт пространства таблиц поддерживается только для пространств таблиц с файлами на таблицу.

Когда экспортируется зашифрованное пространство таблиц, InnoDB генерирует ключ передачи, который используется для шифрования ключа пространства таблиц. Зашифрованный ключ пространства таблиц и ключ передачи хранятся в файле tablespace_name.cfp. Этот файл вместе с зашифрованным файлом пространства таблиц необходим для выполнения операции импорта. При импорте InnoDB использует ключ передачи для расшифровки ключа пространства таблиц в файле tablespace_name.cfp. Дополнительную информацию см. в разделе Раздел 17.6.1.3, «Импорт таблиц InnoDB».

Таблица Information Schema INNODB_TABLESPACES включает столбец ENCRYPTION, который можно использовать для идентификации зашифрованных пространств таблиц.

mysql> SELECT SPACE, NAME, SPACE_TYPE, ENCRYPTION FROM INFORMATION_SCHEMA.INNODB_TABLESPACES
       WHERE ENCRYPTION='Y'\G
*************************** 1. row ***************************
     SPACE: 4294967294
      NAME: mysql
SPACE_TYPE: General
ENCRYPTION: Y
*************************** 2. row ***************************
     SPACE: 2
      NAME: test/t1
SPACE_TYPE: Single
ENCRYPTION: Y
*************************** 3. row ***************************
     SPACE: 3
      NAME: ts1
SPACE_TYPE: General
ENCRYPTION: Y

Когда опция ENCRYPTION указана в операторе CREATE TABLE или ALTER TABLE, она записывается в столбец CREATE_OPTIONS таблицы INFORMATION_SCHEMA.TABLES. Этот столбец можно запросить для идентификации таблиц, которые находятся в зашифрованных пространствах таблиц с файлами на таблицу.

mysql> SELECT TABLE_SCHEMA, TABLE_NAME, CREATE_OPTIONS FROM INFORMATION_SCHEMA.TABLES
       WHERE CREATE_OPTIONS LIKE '%ENCRYPTION%';
+--------------+------------+----------------+
| TABLE_SCHEMA | TABLE_NAME | CREATE_OPTIONS |
+--------------+------------+----------------+
| test         | t1         | ENCRYPTION="Y" |
+--------------+------------+----------------+

Запросите таблицу Information Schema INNODB_TABLESPACES для получения информации о пространстве таблиц, связанном с конкретной схемой и таблицей.

mysql> SELECT SPACE, NAME, SPACE_TYPE FROM INFORMATION_SCHEMA.INNODB_TABLESPACES WHERE NAME='test/t1';
+-------+---------+------------+
| SPACE | NAME    | SPACE_TYPE |
+-------+---------+------------+
|     3 | test/t1 | Single     |
+-------+---------+------------+

Вы можете определить схемы с включенным шифрованием, запросив таблицу Information Schema SCHEMATA.

mysql> SELECT SCHEMA_NAME, DEFAULT_ENCRYPTION FROM INFORMATION_SCHEMA.SCHEMATA
       WHERE DEFAULT_ENCRYPTION='YES';
+-------------+--------------------+
| SCHEMA_NAME | DEFAULT_ENCRYPTION |
+-------------+--------------------+
| test        | YES                |
+-------------+--------------------+

SHOW CREATE SCHEMA также показывает предложение DEFAULT ENCRYPTION.

Вы можете отслеживать прогресс шифрования общего пространства таблиц и mysql системного пространства таблиц с помощью Performance Schema.

Инструмент событий стадии stage/innodb/alter tablespace (encryption) сообщает информацию о WORK_ESTIMATED и WORK_COMPLETED для операций шифрования общего пространства таблиц.

Следующий пример демонстрирует, как включить инструмент событий стадии stage/innodb/alter tablespace (encryption) и связанные таблицы потребителей для мониторинга прогресса шифрования общего пространства таблиц или mysql системного пространства таблиц. Подробную информацию об инструментах событий стадии Performance Schema и связанных потребителях см. в Разделе 29.12.5, «Таблицы событий стадии Performance Schema».