OpenSSL vs MariaDBクライアントライブラリ：TLSv1.1接続のベストプラクティス

OpenSSL を使用して MariaDB サーバーに TLSv1.1 で接続する方法

このチュートリアルでは、OpenSSL を使用して MariaDB サーバーに TLSv1.1 で接続する方法を説明します。 TLS 1.1 は、以前のバージョンの TLS よりもセキュリティが向上した暗号化プロトコルです。

前提条件

• MariaDB クライアント ツール (例: mysql) がインストールされていること
• OpenSSL がインストールされていること
• MariaDB サーバーが TLS 1.1 をサポートしていること

手順

1. クライアント証明書とキーの作成

   以下のコマンドを使用して、クライアント証明書とキーを作成します。

   openssl genrsa -out client-key.pem 2048
   openssl req -new -key client-key.pem -out client-req.pem
   openssl x509 -req -in client-req.pem -signkey client-key.pem -out client-cert.pem -days 365
   

2. CA 証明書の取得

3. MariaDB クライアントの設定

   以下の内容で ~/.my.cnf ファイルを作成します。

   [client]
   ssl=true
   ssl-ca=ca-cert.pem
   ssl-cert=client-cert.pem
   ssl-key=client-key.pem
   

   上記の例では、ca-cert.pem は CA 証明書ファイルのパス、client-cert.pem はクライアント証明書ファイルのパス、client-key.pem はクライアントキーファイルのパスに置き換えます。

4. MariaDB サーバーへの接続

   以下のコマンドを使用して、MariaDB サーバーに接続します。

   mysql -h <server-host> -u <username> -p
   

   上記の例では、<server-host> を MariaDB サーバーのホスト名、<username> をユーザー名に置き換えます。

検証

MariaDB サーバーに接続したら、以下のコマンドを使用して TLS 接続が確立していることを確認できます。

SHOW CONNECTION STATUS LIKE 'SSL_SESSION_ID';

出力結果に SSL_SESSION_ID が表示されれば、TLS 接続が確立されています。

• 最新のセキュリティ対策を維持するために、OpenSSL と MariaDB サーバーを常に最新バージョンに更新することをお勧めします。
• TLS 1.1 をサポートしていない古いバージョンの OpenSSL を使用している場合は、TLS 1.0 しか使用できません。

• 実際のパスワードやファイルパスは、適切な値に置き換えてください。
• 以下のコードはあくまでも例であり、実際の環境に合わせて変更する必要があります。

openssl genrsa -out client-key.pem 2048
openssl req -new -key client-key.pem -out client-req.pem
openssl x509 -req -in client-req.pem -signkey client-key.pem -out client-cert.pem -days 365

[client]
ssl=true
ssl-ca=ca-cert.pem
ssl-cert=client-cert.pem
ssl-key=client-key.pem

mysql -h <server-host> -u <username> -p

TLS 接続の確認

SHOW CONNECTION STATUS LIKE 'SSL_SESSION_ID';

詳細

上記のコードは、以下の内容を実行します。

• openssl x509 コマンドを使用して、クライアント証明書を作成します。 証明書は client-cert.pem ファイルに保存されます。
• openssl genrsa コマンドを使用して、2048 ビットの RSA キーを生成します。 生成されたキーは client-key.pem ファイルに保存されます。

MariaDB クライアントの設定ファイル (~/.my.cnf) には、TLS 接続に必要なオプションを設定します。

• ssl-key オプションは、クライアントキーのパスを指定します。
• ssl オプションは、TLS 接続を有効にします。

最後に、mysql コマンドを使用して MariaDB サーバーに接続します。 接続時に、-h オプションを使用してサーバーホストを指定し、-u オプションを使用してユーザー名を指定し、-p オプションを使用してパスワードを入力するように求められます。

MariaDB クライアントライブラリには、TLS 接続を確立するための組み込みサポートが含まれています。 ライブラリを使用するには、以下の手順に従います。

1. MariaDB クライアントライブラリをインストールします。
2. ライブラリのドキュメントを参照して、TLS 接続を確立する方法を学んでください。

TLS 対応の言語を使用する

多くのプログラミング言語には、TLS 接続を確立するための組み込みサポートが含まれています。 以下の言語は、TLS 1.1 をサポートしています。

• C#
• Go
• Java
• Python

これらの言語を使用して、TLS 接続を確立する独自のクライアントアプリケーションを作成できます。

クラウドベースのソリューションを使用する

Amazon RDS や Google Cloud SQL などのクラウドベースの MariaDB サービスは、TLS 1.1 を含むさまざまなセキュリティプロトコルをサポートしています。 これらのサービスを使用すると、独自の TLS インフラストラクチャをセットアップおよび管理する必要はありません。

それぞれの方法の比較