В этом разделе описано, как установить плагин серверной части веб-аутентификации WebAuthn. Дополнительную информацию об установке плагинов см. в разделе 7.6.1, «Установка и удаление плагинов».

Для использования плагином сервера, файл библиотеки плагина должен находиться в каталоге плагинов MySQL (каталог, указанный системной переменной plugin_dir). При необходимости, настройте расположение каталога плагинов, установив значение plugin_dir во время запуска сервера.

Базовое имя файла библиотеки плагина серверной части — authentication_webauthn. Название файла зависит от платформы (например, .so для систем Unix и Unix-подобных систем, .dll для Windows).

Перед установкой плагина серверной части определите уникальное имя для идентификатора стороны, предоставляющей услуги (используется для регистрации и аутентификации устройства), которое является сервером MySQL. Запустите сервер с опцией --loose-authentication-webauthn-rp-id=value. В данном примере значение mysql.com задано как идентификатор стороны, предоставляющей услуги. Замените это значение на значение, соответствующее вашим требованиям.

$> mysqld [options] --loose-authentication-webauthn-rp-id=mysql.com

Чтобы определить сторону, предоставляющую услуги, и загрузить плагин во время запуска сервера, используйте опцию --plugin-load-add для указания имени файла библиотеки, содержащей плагин, корректируя суффикс .so в зависимости от вашей платформы. При таком методе загрузки плагина опция должна указываться каждый раз при запуске сервера.

$> mysqld [options]
    --loose-authentication-webauthn-rp-id=mysql.com
    --plugin-load-add=authentication_webauthn.so

Для определения стороны, предоставляющей услуги, и загрузки плагина, поместите строки подобные этой в ваш файл my.cnf, корректируя суффикс .so в зависимости от вашей платформы:

[mysqld]
plugin-load-add=authentication_webauthn.so
authentication_webauthn_rp_id=mysql.com

После изменения файла my.cnf перезапустите сервер, чтобы изменения вступили в силу.

В качестве альтернативы, для загрузки плагина во время выполнения используйте эту команду, корректируя суффикс .so в зависимости от вашей платформы:

INSTALL PLUGIN authentication_webauthn
  SONAME 'authentication_webauthn.so';

INSTALL PLUGIN загружает плагин немедленно и также регистрирует его в таблице системных данных mysql.plugins, чтобы сервер загружал его при каждом последующем нормальном запуске без необходимости в --plugin-load-add.

Для проверки установки плагина, просмотрите таблицу схемы информации PLUGINS или используйте инструкцию SHOW PLUGINS (см. раздел 7.6.2, «Получение информации о плагинах сервера»). Например:

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME = 'authentication_webauthn';
+-------------------------+---------------+
| PLUGIN_NAME             | PLUGIN_STATUS |
+-------------------------+---------------+
| authentication_webauthn | ACTIVE        |
+-------------------------+---------------+

Если плагин не удаётся инициализировать, проверьте журнал ошибок сервера на наличие диагностических сообщений.

Чтобы связать учётные записи MySQL с плагином веб-аутентификации WebAuthn, см. раздел об использовании веб-аутентификации WebAuthn.

Аутентификация WebAuthn обычно используется в контексте многофакторной аутентификации (см. раздел 8.2.18, «Многофакторная аутентификация»). Этот раздел демонстрирует, как интегрировать аутентификацию WebAuthn на основе устройства в многофакторный аккаунт, используя плагин authentication_webauthn.

В дальнейшем предполагается, что сервер работает с включённым серверным плагином аутентификации WebAuthn, как описано в разделе по установке плагина WebAuthn Pluggable Authentication, и что клиентский плагин WebAuthn доступен в каталоге плагинов на клиентском хосте.

Также предполагается, что аутентификация WebAuthn используется совместно с аутентификацией, не использующей WebAuthn (что подразумевает учётную запись 2FA или 3FA). WebAuthn также может быть использован для создания учётных записей 1FA, которые проходят аутентификацию без пароля. В этом случае процесс настройки несколько отличается. Инструкции см. в разделе по беспарольной аутентификации WebAuthn.

Аккаунт, настроенный для использования плагина authentication_webauthn, связан с устройством Fast Identity Online (FIDO/FIDO2). По этой причине перед аутентификацией WebAuthn требуется одноразовая регистрация устройства. Процесс регистрации устройства имеет следующие характеристики:

Предположим, что вы хотите, чтобы учётная запись сначала прошла аутентификацию с использованием плагина caching_sha2_password, а затем с использованием плагина authentication_webauthn. Создайте многофакторную учётную запись, используя оператор следующего вида:

CREATE USER 'u2'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_webauthn;

Для подключения укажите пароль фактора 1 для удовлетворения аутентификации этого фактора и для начала регистрации устройства FIDO/FIDO2, установите опцию --register-factor на фактор 2.

$> mysql --user=u2 --password1 --register-factor=2
Enter password: (enter factor 1 password)
Please insert FIDO device and follow the instruction. Depending on the device,
you may have to perform gesture action multiple times.
1. Perform gesture action (Skip this step if you are prompted to enter device PIN).
2. Enter PIN for token device:
3. Perform gesture action for registration to complete.
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 8

После принятия пароля фактора 1 клиентская сессия переходит в режим «песочницы», чтобы можно было выполнить регистрацию устройства для фактора 2. Во время регистрации вас попросят выполнить соответствующее действие на устройстве FIDO/FIDO2, например, прикоснуться к нему или выполнить биометрический скан.

По желанию вы можете вызвать программу-клиент mysql и указать опцию --plugin-authentication-webauthn-client-preserve-privacy. Если устройство FIDO2 содержит несколько обнаруживаемых учётных данных (резидентские ключи) для заданного идентификатора отвечающей стороны (RP), эта опция позволяет выбрать ключ, который будет использоваться для утверждения. По умолчанию опция установлена в значение FALSE, что указывает на то, что утверждения будут создаваться с использованием всех резидентных ключей для данного идентификатора RP. При использовании этой опции mysql запрашивает код PIN устройства и выводит список всех доступных учётных данных для заданного идентификатора RP. Выберите один ключ, а затем выполните оставшиеся инструкции в сети для завершения аутентификации. В данном примере предполагается, что mysql.com — это действительный идентификатор RP:

$> mysql --user=u2 --password1 --register-factor=2
     --plugin-authentication-webauthn-client-preserve-privacy
Enter password: (enter factor 1 password)
Enter PIN for token device:
Found following credentials for RP ID: mysql.com
[1]`u2`@`127.0.0.1`
[2]`u2`@`%`
Please select one(1...N):
1
Please insert FIDO device and perform gesture action for authentication to complete.
+----------------+
| CURRENT_USER() |
+----------------+
| u2@127.0.0.1   |
+----------------+

Опция --plugin-authentication-webauthn-client-preserve-privacy не имеет эффекта для устройств FIDO, которые не поддерживают функцию резидентного ключа.

После завершения процесса регистрации подключение к серверу разрешено.

В этом разделе описано, как WebAuthn можно использовать для создания учетных записей 1FA, которые аутентифицируются без пароля. В этом контексте «беспарольная» означает, что аутентификация происходит, но использует метод, отличный от пароля, такой как ключ безопасности или биометрический сканер. Это не относится к учетной записи, использующей плагин аутентификации на основе пароля, где пароль пустой. Такая «беспарольная» аутентификация полностью небезопасна и не рекомендуется.

При использовании плагина authentication_webauthn для достижения беспарольной аутентификации применяются следующие предварительные условия:

Для использования authentication_webauthn в качестве беспарольного метода аутентификации учетная запись должна быть создана с authentication_webauthn в качестве первого метода аутентификации. Также необходимо указать пункт INITIAL AUTHENTICATION IDENTIFIED BY для первого фактора (он не поддерживается для 2-го или 3-го факторов). Этот пункт определяет, будет ли использоваться случайный или заданный пользователем пароль для регистрации устройства FIDO/FIDO2. После регистрации устройства сервер удаляет пароль и изменяет учетную запись, чтобы сделать authentication_webauthn единственным методом аутентификации (метод 1FA).

Необходимый синтаксис CREATE USER следующий:

CREATE USER user
  IDENTIFIED WITH authentication_webauthn
  INITIAL AUTHENTICATION IDENTIFIED BY {RANDOM PASSWORD | 'auth_string'};

В следующем примере используется синтаксис RANDOM PASSWORD:

mysql> CREATE USER 'u1'@'localhost'
         IDENTIFIED WITH authentication_webauthn
         INITIAL AUTHENTICATION IDENTIFIED BY RANDOM PASSWORD;
+------+-----------+----------------------+-------------+
| user | host      | generated password   | auth_factor |
+------+-----------+----------------------+-------------+
| u1   | localhost | 9XHK]M{l2rnD;VXyHzeF |           1 |
+------+-----------+----------------------+-------------+

Для выполнения регистрации пользователь должен пройти аутентификацию на сервере с паролем, связанным с пунктом INITIAL AUTHENTICATION IDENTIFIED BY, либо случайным паролем, либо значением 'auth_string'. Если учетная запись была создана как показано выше, пользователь выполняет эту команду и вставляет в подсказку ранее сгенерированный случайный пароль (9XHK]M{l2rnD;VXyHzeF):

$> mysql --user=u1 --password --register-factor=2
Enter password:
Please insert FIDO device and follow the instruction. Depending on the device,
you may have to perform gesture action multiple times.
1. Perform gesture action (Skip this step if you are prompted to enter device PIN).
2. Enter PIN for token device:
3. Perform gesture action for registration to complete.
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 10

В качестве альтернативы, используйте опцию --plugin-authentication-webauthn-client-preserve-privacy для выбора открытого для обнаружения идентификатора для аутентификации.

$> mysql --user=u1 --password --register-factor=2
     --plugin-authentication-webauthn-client-preserve-privacy
Enter password:
Enter PIN for token device:
Found following credentials for RP ID: mysql.com
[1]`u1`@`127.0.0.1`
[2]`u1`@`%`
Please select one(1...N):
1
Please insert FIDO device and perform gesture action for authentication to complete.
+----------------+
| CURRENT_USER() |
+----------------+
| u1@127.0.0.1   |
+----------------+

Опция --register-factor=2 используется, потому что пункт INITIAL AUTHENTICATION IDENTIFIED BY в настоящее время работает как первый метод аутентификации. Таким образом, пользователь должен предоставить временный пароль, используя второй фактор. При успешной регистрации сервер удаляет временный пароль и пересматривает запись учетной записи в таблице системы mysql.user, чтобы отобразить authentication_webauthn как единственный (1FA) метод аутентификации.

При создании учетной записи с беспарольной аутентификацией важно включить пункт INITIAL AUTHENTICATION IDENTIFIED BY в операторе CREATE USER. Сервер принимает оператор без этого пункта, но полученная учетная запись непригодна для использования, поскольку нет способа подключиться к серверу для регистрации устройства. Предположим, что вы выполнили оператор такого типа:

CREATE USER 'u2'@'localhost'
  IDENTIFIED WITH authentication_webauthn;

Повторные попытки использования учетной записи для подключения завершатся неудачей, например, так:

$> mysql --user=u2 --skip-password
mysql: [Warning] Using a password on the command line can be insecure.
No FIDO device on client host.
ERROR 1 (HY000): Unknown MySQL error

Возможно отключение устройств FIDO/FIDO2, связанных с учетной записью MySQL. Это может быть желательно или необходимо в нескольких ситуациях:

Отменить регистрацию устройства FIDO/FIDO2 может владелец учетной записи или любой пользователь, имеющий привилегию CREATE USER. Используйте следующий синтаксис:

ALTER USER user {2 | 3} FACTOR UNREGISTER;

Для повторной регистрации устройства или выполнения новой регистрации см. инструкции в разделе Использование аутентификации WebAuthn.

В этом разделе приведены общие сведения о совместной работе MySQL и WebAuthn для аутентификации MySQL-пользователей. Примеры настройки MySQL-учетных записей для использования плагинов аутентификации WebAuthn см. в разделе Использование аутентификации WebAuthn.

Учетная запись, использующая аутентификацию WebAuthn, должна выполнить начальный этап регистрации устройства, прежде чем сможет подключиться к серверу. После регистрации устройства аутентификация может быть продолжена. Процесс регистрации устройства WebAuthn выглядит следующим образом:

После успешной регистрации аутентификация WebAuthn выполняется следующим образом: