为什么MySQL使用TLS很困难
💡
原文英文，约1700词，阅读约需6分钟。
📝
内容提要
MySQL在使用TLS时面临挑战，尤其是在会话开始后才切换TLS连接，导致证书验证复杂。默认的SSL模式为PREFERRED，未验证证书，存在安全隐患。尽管Oracle MySQL已改进TLS支持，但在长连接和证书管理方面仍需加强安全性。
🎯
关键要点
-
MySQL在使用TLS时面临挑战，尤其是在会话开始后才切换TLS连接，导致证书验证复杂。
-
默认的SSL模式为PREFERRED，未验证证书，存在安全隐患。
-
MySQL可以生成自签名证书，但不被正式CA签名，安全性较低。
-
获取内部主机名的证书困难，尤其是使用Let’s Encrypt时需要公共DNS记录。
-
MySQL的默认ssl-mode设置为PREFERRED，可能导致中间人攻击的风险。
-
MySQL连接与会话直接关联，长连接使得更换证书和密钥变得困难。
-
Oracle MySQL在TLS支持方面有所改进，包括默认使用TLS和支持TLSv1.2及TLSv1.3。
❓
延伸问答
MySQL使用TLS时面临哪些主要挑战？
MySQL在使用TLS时面临会话开始后才切换TLS连接、证书验证复杂、默认SSL模式为PREFERRED未验证证书等挑战。
MySQL的默认SSL模式是什么？
MySQL的默认SSL模式为PREFERRED，这意味着会使用TLS但不会验证证书或主机名。
如何提高MySQL的TLS安全性？
可以通过使用VERIFY_CA或VERIFY_IDENTITY模式来提高MySQL的TLS安全性，确保服务器证书有效并匹配主机名。
MySQL在TLS支持方面有哪些改进？
Oracle MySQL已改进TLS支持，包括默认使用TLS、支持TLSv1.2和TLSv1.3，以及简化证书生成和管理。
使用自签名证书的MySQL安全性如何？
使用自签名证书的MySQL安全性较低，因为这些证书不被正式CA签名，容易受到中间人攻击。
MySQL连接的长连接特性对TLS有什么影响？
MySQL的长连接特性使得更换证书和密钥变得困难，因为连接与会话直接关联，重启会中断用户操作。
➡️
