Для настройки учётной записи, использующей плагин sha256_password для хеширования паролей SHA-256, используйте следующее утверждение, где password — желаемый пароль учётной записи:

CREATE USER 'sha256user'@'localhost'
IDENTIFIED WITH sha256_password BY 'password';

Сервер назначает плагин sha256_password для учётной записи и использует его для шифрования пароля с помощью SHA-256, сохраняя эти значения в столбцах plugin и authentication_string таблицы системы mysql.user.

(Оператор IDENTIFIED WITH не нужен, если sha256_password — это плагин по умолчанию; это можно указать с помощью authentication_policy.)

sha256_password поддерживает подключения через защищённый транспорт. sha256_password также поддерживает обмен зашифрованными паролями с использованием RSA по незащищённым соединениям, если MySQL скомпилирован с использованием OpenSSL, и сервер MySQL, с которым вы хотите подключиться, настроен на поддержку RSA (используя процедуру конфигурации RSA, приведённую позднее в этом разделе).

Поддержка RSA имеет следующие характеристики:

Для клиентов, использующих плагин sha256_password, пароли никогда не отображаются как открытый текст при подключении к серверу. Способ передачи паролей зависит от того, используется ли защищённое соединение или шифрование RSA:

Предполагая, что MySQL был скомпилирован с использованием OpenSSL, используйте следующую процедуру, чтобы включить использование пары ключей RSA для обмена паролями во время процесса подключения клиента:

После настройки сервера с файлами ключей RSA учётные записи, которые аутентифицируются с помощью плагина sha256_password, могут использовать эти файлы ключей для подключения к серверу. Как упоминалось ранее, такие учётные записи могут использовать либо защищённое соединение (в этом случае RSA не используется), либо незащищённое соединение, которое выполняет обмен паролями с использованием RSA. Предположим, используется незащищённое соединение. Например:

$> mysql --ssl-mode=DISABLED -u sha256user -p
Enter password: password

Для этой попытки подключения sha256user сервер определяет, что sha256_password — это соответствующий плагин аутентификации и вызывает его (потому что этот плагин был указан во время CREATE USER). Плагин обнаруживает, что соединение не зашифровано и, следовательно, требует передачи пароля с использованием шифрования RSA. В этом случае плагин отправляет открытый ключ RSA клиенту, который использует его для шифрования пароля и возвращает результат на сервер. Плагин использует закрытый ключ RSA на стороне сервера для расшифровки пароля и принимает или отклоняет подключение в зависимости от того, правильный ли пароль.

Сервер отправляет открытый ключ RSA клиенту по мере необходимости. Однако, если у клиента есть файл, содержащий локальную копию открытого ключа RSA, требуемого сервером, он может указать этот файл с помощью опции --server-public-key-path:

$> mysql --ssl-mode=DISABLED -u sha256user -p --server-public-key-path=file_name
Enter password: password

Значение открытого ключа в файле, указанном в опции --server-public-key-path, должно совпадать со значением ключа в файле на стороне сервера, указанном в переменной системы sha256_password_public_key_path. Если файл ключа содержит действительное значение открытого ключа, но значение некорректно, возникает ошибка доступа запрещён. Если файл ключа не содержит действительного открытого ключа, программа клиента не может его использовать. В этом случае плагин sha256_password отправляет открытый ключ клиенту так, как если бы опция --server-public-key-path не была указана.

Пользователи клиентов могут получить открытый ключ RSA двумя способами: