TIL

3.3 비밀번호 관리

3.3.1 고수준 비밀번호

MySQL 서버에는 비밀번호 글자 조합을 강제하거나 금칙어를 설정하는 기능도 포함되어 있다.

validate_password 컴포넌트 설치

• 비밀번호 유효성 체크를 사용하려면 validate_password 컴포넌트를 설치해야 한다.

INSTALL COMPONENT 'file://component_validate_password;

• 이 컴포넌트는 MySQL 서버에 내장되어 있기 때문에 file:// 부분에 파일 경로를 지정하지 않아도 된다.

validate_password가 제공하는 시스템 변수

• check_user_name
• dictionary_file
  • 금칙어들이 저장된 사전 파일을 등록할 수 있다.
• length
• mixed_case_count
• number_count
• policy
  • LOW: 길이만 검증
  • MEDIUM: 기본값, 길이와 대소문자 그리고 특수문자 배합을 검증
  • STRONG: MEDIUM 레벨의 검증 + 금칙어 포함 여부 검증
• special_char_count

금칙어 등록

• 연속된 단어 등의 금칙어를 설정하려면 validate_password.dictionary_file 시스템 변수에 금칙어들이 저장된 파일을 등록하면 된다.
• 금칙어 파일을 준비하는 것은 소모적인 일이므로 이미 만들어진 파일을 사용하는 것도 추천한다.
  • https://github.com/danielmiessler/SecLists/blob/master/Passwords/Common-Credentials/10k-most-common.txt
• 금칙어 파일이 준비되면 MySQL 서버에 금칙어 파일을 등록하면 된다.
  • 정책을 ‘STRONG’으로 설정해야 적용된다.

SET GLOBAL validate_password.dictionary_file='prohibitive_word.data';
SET GLOBAL validate_password.policy='STRONG';

3.3.2 이중 비밀번호

• 보통 많은 애플리케이션 서버가 공용으로 하나의 데이터베이스 서버 계정 정보를 사용한다.
• 때문에 서비스 실행 중에 데이터베이스 계정 비밀번호를 바꾸는 것이 불가능했다.
• 이를 해결하기 위해 8.0 버전 이후로 이중 비밀번호 기능을 추가했다.
  • 하나의 계정에 2개의 비밀번호를 설정할 수 있는 기능
  • 비교적 최근에 등록한 것을 프라이머리, 그 전에 등록된 것을 세컨더리라고 부른다.
  • 둘 중 하나만 입력해도 서버로의 접속이 가능하다.

비밀번호 변경 시나리오

• old_password라는 비밀번호를 가진 데이터베이스 서버가 있고 애플리케이션이 이 비밀번호를 통해 서비스를 실행하고 있다.
  1. 아래와 같이 비밀번호 변경 구문에 RETAIN CURRENT PASSWORD 옵션을 추가하면 기존 비밀번호는 세컨더리가 되고 새 비밀번호는 프라이머리가 되어 이중 비밀번호가 설정된다.

ALTER USER 'root'@'localhost' IDENTIFIED BY 'new_password' RETAIN CURRENT PASSWORD;

1. old_password로 접속하고 있던 애플리케이션의 DB 접근 설정 파일을 new_password로 바꾸고 재배포한다.
   1. 기존 비밀번호를 사용하던 이전 버전도, 새 비밀번호를 사용하는 지금 버전도 DB에 접근 가능
2. 애플리케이션 배포가 완료되면 다음 명령으로 세컨더리를 삭제한다.
   1. 보안을 위해 삭제하는 것이 좋다.

ALTER USER 'root'@'localhost' DISCARD OLD PASSWORD;