Keamanan Lapisan Transportasi (TLS) di Azure Database for MySQL

Azure Database for MySQL mengharuskan semua koneksi klien menggunakan Keamanan Lapisan Transportasi (TLS), protokol standar industri yang mengenkripsi komunikasi antara server database dan aplikasi klien Anda. TLS menggantikan protokol SSL yang lebih lama, dengan hanya TLS versi 1.2 dan 1.3 yang diakui sebagai aman. Integritas keamanan TLS bergantung pada tiga pilar:

  • Hanya menggunakan TLS versi 1.2 atau 1.3.
  • Klien memvalidasi sertifikat TLS server yang dikeluarkan oleh Otoritas Sertifikat (CA) dalam rantai CA yang dimulai oleh CA akar tepercaya.
  • Menegosiasikan rangkaian sandi yang aman antara server dan klien.

Konfigurasi TLS di Azure Database for MySQL Flexible Server

Azure Database for MySQL Flexible Server mendukung menghubungkan aplikasi klien Anda ke instans Server Fleksibel Azure Database for MySQL dengan menggunakan Secure Sockets Layer (SSL) dengan enkripsi Keamanan Lapisan Transportasi (TLS). TLS adalah protokol standar industri yang memastikan koneksi jaringan terenkripsi antara server database dan aplikasi klien Anda, sehingga Anda dapat mematuhi persyaratan kepatuhan.

Azure Database for MySQL Server Fleksibel mendukung koneksi terenkripsi dengan menggunakan Keamanan Lapisan Transportasi (TLS 1.2) secara default, dan menolak semua koneksi masuk dengan menggunakan TLS 1.0 dan TLS 1.1 secara default. Anda dapat mengonfigurasi dan mengubah penerapan koneksi terenkripsi atau konfigurasi versi TLS di Server Fleksibel Anda.

Tabel berikut ini menjelaskan berbagai konfigurasi pengaturan SSL dan TLS yang dapat Anda miliki untuk Server Fleksibel Anda:

Important

Menurut Penghapusan Dukungan untuk Protokol TLS 1.0 dan TLS 1.1, MySQL berencana untuk sepenuhnya menghentikan TLS 1.0 dan 1.1 pada September 2024. Namun, karena adanya ketergantungan yang diidentifikasi oleh beberapa pelanggan, jadwalnya diperpanjang.

  • Mulai 31 Agustus 2025, peningkatan paksa dimulai untuk semua server yang masih menggunakan TLS 1.0 atau 1.1. Setelah tanggal ini, koneksi apa pun yang mengandalkan TLS 1.0 atau 1.1 mungkin berhenti berfungsi kapan saja.

Untuk menghindari gangguan layanan, migrasikan ke TLS 1.2 sesegera mungkin.

Scenario Pengaturan parameter server Deskripsi
Menonaktifkan penegakan TLS require_secure_transport = OFF Jika aplikasi warisan Anda tidak mendukung koneksi terenkripsi, nonaktifkan penerapan koneksi terenkripsi.
Menerapkan TLS dengan TLS versi < 1.2 (tidak digunakan lagi pada Bulan September 2024) require_secure_transport = ON dan tls_version = TLS 1.0 atau TLS 1.1 Tidak lagi tersedia!
Menerapkan TLS dengan versi TLS = 1.2 (Konfigurasi default) require_secure_transport = ON dan tls_version = TLS 1.2 Konfigurasi bawaan.
Menerapkan TLS dengan versi TLS = 1.3 require_secure_transport = ON dan tls_version = TLS 1.3 Konfigurasi yang direkomendasikan; hanya didukung dengan Azure Database for MySQL Flexible Server versi v8.0 dan yang lebih baru.

Note

Perubahan pada Cipher TLS tidak didukung. Suite sandi yang mematuhi FIPS diberlakukan secara default ketika tls_version diatur ke TLS 1.2 atau TLS 1.3.

Tinjau koneksi menggunakan SSL/TLS untuk mempelajari cara mengidentifikasi versi TLS.

Sertifikat akar tepercaya dan rotasi sertifikat

Important

Jadwal rotasi sertifikat akar:

  • Pembaruan untuk sertifikat akar CA dari DigiCert Global Root CA (G1) ke DigiCert Global Root G2 di wilayah Tiongkok dimulai pada 9 Maret 2026.
  • Jika konfigurasi klien Anda menggunakan konfigurasi yang Direkomendasikan untuk TLS, Anda tidak perlu mengambil tindakan apa pun.

CA akar yang digunakan oleh Azure Database for MySQL

CA Root adalah otoritas tingkat atas dalam rantai sertifikat. Azure Database for MySQL saat ini menggunakan sertifikat bertanda tangan ganda yang dikeluarkan oleh ICA yang ditandatangani oleh CA akar berikut:

Wilayah Tiongkok saat ini menggunakan CA berikut:

Tentang CA perantara

Azure Database for MySQL menggunakan CA perantara (ICAs) untuk menerbitkan sertifikat server. Microsoft secara berkala memperbarui sertifikat pihak penerbit ini dan sertifikat server yang mereka keluarkan untuk menjaga keamanan. Rotasi ini bersifat rutin dan tidak diumumkan sebelumnya.

Rotasi otoritas sertifikat menengah saat ini untuk DigiCert Global Root G2 (lihat Rotasi sertifikat) dimulai pada November 2025 dan dijadwalkan selesai pada Q1 tahun 2026. Rotasi ini menggantikan CA perantara sebagai berikut. Jika Anda mengikuti praktik yang direkomendasikan, Anda tidak perlu membuat perubahan apa pun di lingkungan Anda.

Rantai CA lama

Informasi ini disediakan hanya untuk referensi. Jangan gunakan CA perantara atau sertifikat server di penyimpanan akar tepercaya Anda.

  • DigiCert Global Root G2
    • Microsoft Azure RSA TLS Issuing CA 03 / 04 / 07 / 08
      • Sertifikat server

Rantai CA baru

Informasi ini disediakan hanya untuk referensi. Jangan gunakan CA perantara atau sertifikat server di penyimpanan akar tepercaya Anda.

  • DigiCert Global Root G2
    • Microsoft TLS RSA Root G2
      • Microsoft TLS G2 RSA CA OCSP 02 / 04 / 06 / 08 / 10 / 12 / 14 / 16
        • Sertifikat server

Rantai sertifikat

Rantai sertifikat adalah urutan hierarkis sertifikat yang dikeluarkan oleh Otoritas Sertifikat (CA) tepercaya, dimulai dari CA akar, yang mengeluarkan sertifikat CA menengah (ICA). ICA mungkin mengeluarkan sertifikat untuk ICA tingkat lebih rendah. ICA terendah dalam rantai mengeluarkan sertifikat server individual. Anda menetapkan rantai kepercayaan dengan memverifikasi setiap sertifikat dalam rantai hingga sertifikat OS akar.

Mengurangi kegagalan koneksi

Gunakan konfigurasi TLS yang direkomendasikan untuk mengurangi risiko kegagalan koneksi karena rotasi sertifikat atau perubahan CA perantara. Secara khusus, hindari mempercayai CA perantara atau sertifikat server individual, karena praktik ini dapat menyebabkan masalah koneksi yang tidak terduga ketika Microsoft memperbarui rantai sertifikat.

Important

Microsoft mengumumkan perubahan dalam CA root sebelumnya untuk membantu Anda menyiapkan aplikasi klien Anda. Namun, rotasi sertifikat server dan perubahan pada CA perantara bersifat rutin dan karenanya tidak diumumkan.

Caution

Menggunakan konfigurasi (klien) yang tidak didukung dapat menyebabkan kegagalan koneksi yang tidak terduga.

Konfigurasi terbaik

Konfigurasi yang baik

  • Atur require_secure_transport = ON dan tls_version = TLS 1.3. Jika Anda harus mendukung TLS 1.2, jangan atur tls_version.
  • Gunakan verifikasi penuh dari aplikasi klien (Ini bervariasi menurut klien).
  • Pastikan bahwa toko akar tepercaya berisi sertifikat root CA yang saat ini digunakan oleh Azure Database for MySQL.

Jangan nonaktifkan TLS sepenuhnya dengan mengatur require_secure_transport ke OFF.

Konfigurasi yang tidak didukung; jangan gunakan

Azure MySQL tidak mengumumkan perubahan tentang perubahan CA menengah atau rotasi sertifikat server individual. Oleh karena itu, konfigurasi berikut tidak didukung:

  • Anda menggunakan sertifikat CA perantara di penyimpanan tepercaya Anda.
  • Anda menggunakan penyematan sertifikat, seperti menggunakan sertifikat server individual di penyimpanan tepercaya Anda.

Caution

Aplikasi Anda gagal terhubung ke server database tanpa peringatan setiap kali Microsoft mengubah CA perantara rantai sertifikat atau memutar sertifikat server.

Pertimbangan lain untuk TLS

Versi TLS aman dan tidak aman

Beberapa entitas pemerintah di seluruh dunia mempertahankan pedoman untuk TLS mengenai keamanan jaringan. Di Amerika Serikat, organisasi-organisasi ini termasuk Departemen Kesehatan dan Layanan Manusia dan Institut Standar dan Teknologi Nasional. Tingkat keamanan yang disediakan TLS paling dipengaruhi oleh versi protokol TLS dan suite sandi yang didukung.

Azure Database for MySQL mendukung TLS versi 1.2 dan 1.3. Dalam RFC 8996, Internet Engineering Task Force (IETF) secara eksplisit menyatakan bahwa TLS 1.0 dan TLS 1.1 tidak boleh digunakan. Kedua protokol tidak digunakan lagi pada akhir 2019. Semua koneksi masuk yang menggunakan versi protokol TLS yang tidak aman sebelumnya, seperti TLS 1.0 dan TLS 1.1, ditolak secara default.

IETF merilis spesifikasi TLS 1.3 di RFC 8446 pada Agustus 2018, dan TLS 1.3 adalah versi yang direkomendasikan karena lebih cepat dan lebih aman daripada TLS 1.2.

Meskipun tidak disarankan, jika diperlukan, Anda dapat menonaktifkan TLS untuk koneksi ke Azure Database for MySQL Anda. Anda dapat memperbarui require_secure_transport parameter server ke OFF.

Kumpulan cipher

Suite sandi adalah sekumpulan algoritma yang mencakup sandi, algoritma pertukaran kunci, dan algoritma hash. Gunakan bersama dengan sertifikat TLS dan versi TLS untuk membuat koneksi TLS yang aman. Sebagian besar klien dan server TLS mendukung beberapa cipher suite dan terkadang beberapa versi TLS. Selama pembentukan koneksi, klien dan server menegosiasikan versi TLS dan cipher suite untuk digunakan melalui jabat tangan. Selama jabat tangan ini, berikut ini terjadi:

  • Klien mengirimkan daftar suite sandi yang dapat diterima.
  • Server memilih rangkaian sandi terbaik (menurut definisinya sendiri) dari daftar dan memberi tahu klien pilihan.

Fitur TLS tidak tersedia di Azure Database for MySQL

Saat ini, Azure Database for MySQL tidak menerapkan fitur TLS berikut:

  • Autentikasi klien berbasis sertifikat TLS melalui TLS dengan autentikasi bersama (mTLS).
  • Sertifikat server kustom (bawa sertifikat TLS Anda sendiri).

Konten terkait

  • Terakhir diperbarui pada