К факторам аутентификации обычно относятся такие типы информации:

Тип фактора “нечто, что вы знаете” опирается на информацию, которая хранится в секрете с обеих сторон процесса аутентификации. К сожалению, секреты могут быть скомпрометированы: кто-то может увидеть, как вы вводите свой пароль, или обмануть вас с помощью фишинговой атаки, пароль, хранящийся на серверной стороне, может быть раскрыт при взломе безопасности и т. д. Безопасность можно повысить, используя несколько паролей, но каждый из них всё ещё может быть скомпрометирован. Использование других типов факторов обеспечивает улучшенную безопасность с меньшим риском компрометации.

Реализация многофакторной аутентификации в MySQL включает эти элементы:

Переменная системы authentication_policy определяет политику многофакторной аутентификации. В частности, она определяет, сколько факторов аутентификации может иметь (или должно иметь) учетная запись и какие методы аутентификации могут использоваться для каждого фактора.

Значение authentication_policy представляет собой список из 1, 2 или 3 элементов, разделенных запятыми. Каждый элемент списка соответствует фактору аутентификации и может быть именем плагина аутентификации, звездочкой (*), пустым или отсутствовать. (Исключение: элемент 1 не может быть пустым или отсутствовать.) Весь список заключен в одинарные кавычки. Например, следующее значение authentication_policy включает звездочку, имя плагина аутентификации и пустой элемент:

authentication_policy = '*,authentication_webauthn,'

Звездочка (*) указывает, что метод аутентификации требуется, но разрешен любой метод. Пустой элемент указывает, что метод аутентификации является необязательным и разрешен любой метод. Отсутствие элемента (без звездочки, пустого элемента или имени плагина) означает, что метод аутентификации не разрешен. Если указано имя плагина, этот метод аутентификации требуется для соответствующего фактора при создании или изменении учетной записи.

Значение по умолчанию authentication_policy равно '*,,' (звездочка и два пустых элемента), что требует первого фактора и необязательно разрешает второй и третий факторы. Таким образом, значение по умолчанию authentication_policy совместимо со старыми учетными записями с 1FA, но также позволяет создавать или изменять учетные записи для использования 2FA или 3FA.

Пользователь, обладающий привилегией AUTHENTICATION_POLICY_ADMIN, не подчиняется ограничениям, налагаемым параметром authentication_policy. (Выводится предупреждение для утверждений, которые в противном случае не были бы разрешены.)

Значения authentication_policy могут быть определены в файле параметров или указаны с помощью оператора SET GLOBAL:

SET GLOBAL authentication_policy='*,*,';

Существует несколько правил, определяющих, как можно определить значение authentication_policy. Подробное описание этих правил см. в описании переменной системы authentication_policy. В следующей таблице приведены несколько примеров значений authentication_policy и соответствующие политики.

По умолчанию MySQL использует политику многофакторной аутентификации, которая разрешает любой плагин аутентификации для первого фактора и необязательно разрешает второй и третий факторы аутентификации. Эта политика настраивается; подробнее см. Настройка политики многофакторной аутентификации.

Предположим, что вы хотите, чтобы учетная запись сначала прошла аутентификацию с помощью плагина caching_sha2_password, а затем с помощью плагина SASL LDAP authentication_ldap_sasl. (Это предполагает, что аутентификация LDAP уже настроена, как описано в разделе 8.4.1.6, «LDAP Pluggable Authentication», и что у пользователя есть запись в каталоге LDAP, соответствующая строке аутентификации, показанной в примере.) Создайте учетную запись с помощью оператора подобного этому:

CREATE USER 'alice'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_ldap_sasl
    AS 'uid=u1_ldap,ou=People,dc=example,dc=com';

Для подключения пользователю необходимо предоставить два пароля. Чтобы включить аутентификацию на сервер MySQL с использованием учетных записей, требующих нескольких паролей, клиентские программы имеют опции --password1, --password2 и --password3, которые позволяют указать до трех паролей. Эти опции аналогичны опции --password в том, что они могут принимать значение пароля после опции в командной строке (что небезопасно), или, если указаны без значения пароля, запрашивают у пользователя пароль. Для только что созданной учетной записи факторы 1 и 2 принимают пароли, поэтому запустите клиент mysql с опциями --password1 и --password2. Клиент mysql запрашивает каждый пароль по очереди:

$> mysql --user=alice --password1 --password2
Enter password: (enter factor 1 password)
Enter password: (enter factor 2 password)

Предположим, вы хотите добавить третий фактор аутентификации. Это можно сделать, удалив и пересоздав пользователя с третьим фактором или используя синтаксис ALTER USER user ADD factor. Оба метода показаны ниже:

DROP USER 'alice'@'localhost';

CREATE USER 'alice'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_ldap_sasl
    AS 'uid=u1_ldap,ou=People,dc=example,dc=com'
  AND IDENTIFIED WITH authentication_webauthn;

Синтаксис ADD factor включает номер фактора и ключевое слово FACTOR:

ALTER USER 'alice'@'localhost' ADD 3 FACTOR IDENTIFIED WITH authentication_webauthn;

Синтаксис ALTER USER user DROP factor позволяет удалить фактор. В следующем примере удаляется третий фактор (authentication_webauthn), который был добавлен в предыдущем примере:

ALTER USER 'alice'@'localhost' DROP 3 FACTOR;

Синтаксис ALTER USER user MODIFY factor позволяет изменить плагин или строку аутентификации для конкретного фактора, при условии, что фактор существует. В следующем примере изменяется второй фактор, изменяя метод аутентификации с authentication_ldap_sasl на authetication_webauthn:

ALTER USER 'alice'@'localhost' MODIFY 2 FACTOR IDENTIFIED WITH authentication_webauthn;

Используйте SHOW CREATE USER для просмотра методов аутентификации, определенных для учетной записи:

SHOW CREATE USER 'u1'@'localhost'\G
*************************** 1. row ***************************
CREATE USER for u1@localhost: CREATE USER `u1`@`localhost`
IDENTIFIED WITH 'caching_sha2_password' AS 'sha2_password'
AND IDENTIFIED WITH 'authentication_authn' REQUIRE NONE
PASSWORD EXPIRE DEFAULT ACCOUNT UNLOCK PASSWORD HISTORY
DEFAULT PASSWORD REUSE INTERVAL DEFAULT PASSWORD REQUIRE
CURRENT DEFAULT