SSL PHP PDO - mysql обновления безопасности от 19.11.2019

произошло автоматическое обновление

зря ты так.

routines:ssl3_read_bytes:sslv3 alert unsupported certificate in

может быть пора использовать что-то более современное ?

ssl3

Скорее всего ты хочешь какое-нибудь TLSv1.2, а не SSLv3.

У меня так когда-то отвалился curl с php

«Исправил» временно правкой /etc/ssl/openssl.cnf пока еще не обновилась второая сторона

sed -i 's,^\(MinProtocol[ ]*=\).*,\1'TLSv1.0',g' /etc/ssl/openssl.cnf

sed -i 's,^\(CipherString[ ]*=\).*,\1'DEFAULT@SECLEVEL=1',g' /etc/ssl/openssl.cnf

зря ты так.

Согласен

может быть пора использовать что-то более современное ?
Скорее всего ты хочешь какое-нибудь TLSv1.2, а не SSLv3.

Пора! Хочу! Есть примеры для PHP PDO?

«Исправил» временно правкой /etc/ssl/openssl.cnf пока еще не обновилась второая сторона

Не помогло

[ssl_sect] system_default = system_default_sect

[system_default_sect] MinProtocol = TLSv1.0 CipherString = DEFAULT@SECLEVEL=1

Выпусти новый сертификат, не sslv3.

это мой конфиг. можно попробовать понизить не до TLS1.0, а до SSL3 как в проблеме

Выпусти новый сертификат, не sslv3.

Подскажешь как? Это должно быть что-то в запросе или на стороне сервера CA?

это мой конфиг. можно попробовать понизить не до TLS1.0, а до SSL3 как в проблеме

Не помогло

это мой конфиг. можно попробовать понизить не до TLS1.0, а до SSL3 как в проблеме
Не помогло

Кроме того, mysql поддерживает только:
tls_version | TLSv1,TLSv1.1,TLSv1.2

А в конфигурации apache2:
SSLProtocol all -SSLv2 -SSLv3

Выпусти новый сертификат, не sslv3.

В сертификате:

X509v3 Extended Key Usage: TLS Web Server Authentication

Ещё бы версию PHP (7.2.24-0ubuntu0.18.04.1?) и пример подключения PDO: DSN и опции т.е.

Ещё бы версию PHP (7.2.24-0ubuntu0.18.04.1?) и пример подключения PDO: DSN и опции т.е.

php -v
PHP 7.2.24-0ubuntu0.18.04.1 (cli) (built: Oct 28 2019 12:07:07) ( NTS )

mysql --version
mysql Ver 14.14 Distrib 5.7.28, for Linux (x86_64) using EditLine wrapper

apache2 -v
Server version: Apache/2.4.29 (Ubuntu)

Пример:
// Параметры для PDO
$dsn = «$db_type:host=$db_host;dbname=$db_name;charset=$db_charset»;
$opt = [
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
PDO::ATTR_EMULATE_PREPARES => false,
];
// SSL параметры для PDO
if ($db_type == 'mysql' && $ssl_key != " && $ssl_cert != " && $ssl_ca != "){
$opt = [
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
PDO::ATTR_EMULATE_PREPARES => false,
// PDO::MYSQL_ATTR_SSL_CIPHER => ECDHE-RSA-AES128-GCM-SHA256,
PDO::MYSQL_ATTR_SSL_KEY => $ssl_key,
PDO::MYSQL_ATTR_SSL_CERT => $ssl_cert,
PDO::MYSQL_ATTR_SSL_CA => $ssl_ca,
];
}
// Подключение
try {
$pdo = new PDO($dsn, $db_user, $db_pass, $opt);
} catch (PDOException $e)
// Вывод ошибки в браузер
die(«Ошибка связи с базой данных: ».$e);
die(«Ошибка связи с базой данных»);
}

В Ubuntu 18.04 собрали Oracle MySQL 5.7.28 с OpenSSL вместо встроенного yaSSL как раньше.
Видимо, он по какой-то причине не принимает твой сертификат.
Можешь попробовать MariaDB 10.1.43, они его оставили на yaSSL по какой-то причине.

Все сборки MySQL 5.7 теперь используют OpenSSL. MySQL больше не поддерживает использование yaSSL в качестве библиотеки SSL, а исходные дистрибутивы больше не включают yaSSL.

https://dev.mysql.com/doc/relnotes/mysql/5.7/en/news-5-7-28.html

Спасибо, буду смотреть в эту сторону. Вообще интересно чем не устроил openssl мой сертификат.

MySQL no longer supports using yaSSL as the SSL library, and source distributions no longer include yaSSL.

А, решение приняли в Oracle, понятно.

Пока нет решения... Единственное что узнал, что никакой ssl3 не используется. Все идет через TLSv1.2. По tcpdump видно, что сервер (mysql) отвечает клиенту (apache2\php?) Alert (Level: Fatal, Description: Unsupported Certificate) после чего посылает флаг закрытия соединения Reset: set...

Т.е. apache2 отдает сертификат который я указываю в PDO, mysql его проверяет и говорит - не нравится. А как сделать чтобы понравился? Сертификат CA одинаковый. Даже установил его через update-ca-certificates...

mysql --version
mysql Ver 8.0.18 for Linux on x86_64 (MySQL Community Server - GPL)

Ошибка осталась...