使用 GPG 加密 MySQL 数据库备份版本作者内容时间 1.0 茹作军文档发布 / 9

Size: px

Start display at page:

Download "使用 GPG 加密 MySQL 数据库备份版本作者内容时间 1.0 茹作军文档发布 / 9"

勇案连
4 years ago
Views:

1 使用 GPG 加密 MySQL 数据库备份版本作者内容时间 1.0 茹作军文档发布 / 9

2 目录什么是 GPG... 3 安装 GPG... 3 生成密钥... 3 密钥管理... 5 列出密钥... 5 输出密钥... 6 上传公钥... 6 输入密钥... 7 加密和解密... 7 加密文件... 7 解密文件... 8 加密数据库备份文件... 8 备份时加密文件... 8 解密备份数据... 8 加密历史备份数据... 8 参考文档 / 9

3 什么是 GPG 要了解什么是 GPG, 就要先了解 PGP 1991 年, 程序员 Phil Zimmermann 为了避开政府监视, 开发了加密软件 PGP 这个软件非常好用, 迅速流传开来, 成了许多程序员的必备工具但是, 它是商业软件, 不能自由使用所以, 自由软件基金会决定, 开发一个 PGP 的替代品, 取名为 GnuPG 这就是 GPG 的由来安装 GPG ~]# yum -y install gpgme 第一次运行, 会创建相关运行目录和配置文件 ~]# gpg gpg: directory `/root/.gnupg' created gpg: new configuration file `/root/.gnupg/gpg.conf' created gpg: WARNING: options in `/root/.gnupg/gpg.conf' are not yet active during this run gpg: keyring `/root/.gnupg/secring.gpg' created gpg: keyring `/root/.gnupg/pubring.gpg' created gpg: Go ahead and type your message... 查看帮助信息 #gpg help 生成密钥安装成功后, 使用 gen-ken 参数生成自己的密钥 gpg --gen-key 回车以后, 会跳出一大段文字 : gpg (GnuPG) ; Copyright (C) 2013 Free Software Foundation, Inc. This is free software: you are free to change and redistribute it. There is NO WARRANTY, to the extent permitted by law. 请选择您要使用的密钥种类 : (1) RSA and RSA (default) 3 / 9

4 (2) DSA and Elgamal (3) DSA ( 仅用于签名 ) (4) RSA ( 仅用于签名 ) 您的选择? 第一段是版权声明, 然后让用户自己选择加密算法默认选择第一个选项, 表示加密和签名都使用 RSA 算法然后, 系统就会问你密钥的长度 RSA 密钥长度应在 1024 位与 4096 位之间您想要用多大的密钥尺寸?(2048) 密钥越长越安全, 默认是 2048 位接着, 设定密钥的有效期请设定这把密钥的有效期限 0 = 密钥永不过期 <n> = 密钥在 n 天后过期 <n>w = 密钥在 n 周后过期 <n>m = 密钥在 n 月后过期 <n>y = 密钥在 n 年后过期密钥的有效期限是?(0) 如果密钥只是个人使用, 并且你很确定可以有效保管私钥, 建议选择第一个选项, 即永不过期回答完上面三个问题以后, 系统让你确认以上正确吗?(y/n) 输入 y, 系统就要求你提供个人信息您需要一个用户标识来辨识您的密钥 ; 本软件会用真实姓名注释和电子邮件地址组合成用户标识, 如下所示 : "Heinrich Heine (Der Dichter) <heinrichh@duesseldorf.de>" 真实姓名 : 电子邮件地址 : 注释 : " 真实姓名 " 填入你姓名的英文写法," 电子邮件地址 " 填入你的邮件地址," 注释 " 这一栏可以空着然后, 你的 " 用户 ID" 生成了您选定了这个用户标识 : 4 / 9

5 "Ruan YiFeng 我的 " 真实姓名 " 是 Ruan YiFeng," 电子邮件地址 " 是所以我的 " 用户 ID" 就是 "Ruan YiFeng 系统会让你最后确认一次更改姓名 (N) 注释 (C) 电子邮件地址 (E) 或确定 (O)/ 退出 (Q)? 输入 O 表示 " 确定 " 接着, 系统会让你设定一个私钥的密码这是为了防止误操作, 或者系统被侵入时有人擅自动用私钥您需要一个密码来保护您的私钥 : 然后, 系统就开始生成密钥了, 这时会要求你做一些随机的举动, 以生成一个随机数我们需要生成大量的随机字节这个时候您可以多做些琐事 ( 像是敲打键盘移动鼠标读写硬盘之类的 ), 这会让随机数字发生器有更好的机会获得足够的熵数几分钟以后, 系统提示密钥已经生成了 gpg: 密钥 EDDD6D76 被标记为绝对信任公钥和私钥已经生成并经签名请注意上面的字符串 "EDDD6D76", 这是 " 用户 ID" 的 Hash 字符串, 可以用来替代 " 用户 ID" 这时, 最好再生成一张 " 撤销证书 ", 以备以后密钥作废时, 可以请求外部的公钥服务器撤销你的公钥 gpg --gen-revoke [ 用户 ID] 上面的 " 用户 ID" 部分, 可以填入你的邮件地址或者 Hash 字符串 ( 以下同 ) 密钥管理列出密钥 list-keys 参数列出系统中已有的密钥. gpg --list-keys 5 / 9

6 显示结果如下 : /root/.gnupg/pubring.gpg pub 2048R/4F82FC uid ruzuojun <ruzuojun@139.com> sub 2048R/1ECB9BEE 第一行显示公钥文件名 (pubring.gpg), 第二行显示公钥特征 (2048 位,Hash 字符串和生成时间 ), 第三行显示 " 用户 ID", 第四行显示私钥特征如果你要从密钥列表中删除某个密钥, 可以使用 delete-key 参数 gpg --delete-key [ 用户 ID] 输出密钥公钥文件 (.gnupg/pubring.gpg) 以二进制形式储存,armor 参数可以将其转换为 ASCII 码显示 gpg --armor --output public-key.txt --export [ 用户 ID] " 用户 ID" 指定哪个用户的公钥,output 参数指定输出文件名 (public-key.txt) 示例 : [root@txcloud.gnupg]# gpg --armor --output public-key.txt --export ruzuojun 类似地,export-secret-keys 参数可以转换私钥 gpg --armor --output private-key.txt --export-secret-keys 上传公钥公钥服务器是网络上专门储存用户公钥的服务器 send-keys 参数可以将公钥上传到服务器 gpg --send-keys [ 用户 ID] --keyserver hkp://subkeys.pgp.net 使用上面的命令, 你的公钥就被传到了服务器 subkeys.pgp.net, 然后通过交换机制, 所有的公钥服务器最终都会包含你的公钥由于公钥服务器没有检查机制, 任何人都可以用你的名义上传公钥, 所以没有办法保证服务器上的公钥的 6 / 9

7 可靠性通常, 你可以在网站上公布一个公钥指纹, 让其他人核对下载到的公钥是否为真 fingerprint 参数生成公钥指纹 gpg --fingerprint [ 用户 ID] 输入密钥除了生成自己的密钥, 还需要将他人的公钥或者你的其他密钥输入系统这时可以使用 import 参数 gpg --import [ 密钥文件 ] 为了获得他人的公钥, 可以让对方直接发给你, 或者到公钥服务器上寻找 gpg --keyserver hkp://subkeys.pgp.net --search-keys [ 用户 ID] 正如前面提到的, 我们无法保证服务器上的公钥是否可靠, 下载后还需要用其他机制验证. 加密和解密加密文件假定有一个文本文件 demofile.txt, 怎样对它加密呢? encrypt 参数用于加密 gpg --recipient [ 用户 ID] --output demofile.txt.cry --encrypt demofile.txt 示例 : # gpg --recipient ruzuojun --output demofile.txt.cry --encrypt demofile.txt recipient 参数指定接收者的公钥,output 参数指定加密后的文件名,encrypt 参数指定源文件运行上面的命令后,demofile.txt.cry 就是已加密的文件, 可以把它发给对方 7 / 9

8 解密文件对方收到加密文件以后, 就用自己的私钥解密 gpg --decrypt demofile.txt.cry --output demofile.txt decrypt 参数指定需要解密的文件,output 参数指定解密后生成的文件运行上面的命令,demofile.txt 就是解密后的文件 GPG 允许省略 decrypt 参数 gpg demofile.txt.cry 运行上面的命令以后, 解密后的文件内容直接显示在标准输出加密数据库备份文件备份时加密文件使用 xtrabackup 备份时加密备份文件 innobackupex --kill-long-queries-timeout=10 --user=dbadmin --slave-info --host=' ' -- password='123456' --port= defaults-file=/home/mysql3306/my.cnf --stream=tar /home/backupdata/bak/ gzip gpg --always-trust -e -r ruzuojun -o //home/backupdata/bak/xtrade_fullbak_ _ tar.gz.gpg 解密备份数据 bak]# gpg -d xtrade_fullbak_ _ tar.gz.gpg tar ixzvf - -C /home/backupdata/bak/ 加密历史备份数据 for file in `ls xtrade_fullbak_ * grep -v gpg`;do echo $file;gpg --always-trust -e -r dbbackup $file;rm -f $file;done 8 / 9

9 参考文档 9 / 9

1 公钥管理 1.1 公钥管理配置命令 display public-key local public display public-key local { dsa rsa } public [ { begin exclude include } regular-expression ]

1 公钥管理 1.1 公钥管理配置命令 display public-key local public display public-key local { dsa rsa } public [ { begin exclude include } regular-expression ] 目录 1 公钥管理 1-1 1.1 公钥管理配置命令 1-1 1.1.1 display public-key local public 1-1 1.1.2 display public-key peer 1-2 1.1.3 peer-public-key end 1-4 1.1.4 public-key-code begin 1-4 1.1.5 public-key-code end 1-5 1.1.6

使用 GPG 加密 MySQL 数据库备份 版本作者内容时间 1.0 茹作军文档发布 / 9

使用 GPG 加密 MySQL 数据库备份版本作者内容时间 1.0 茹作军文档发布 / 9