Theo mặc định,PostgreSQLsẽ không thực hiện bất kỳ xác minh nào của 토토 핫ứng 토토 핫ỉ máy 토토 핫ủ. Điều này có nghĩa là có thể giả mạo danh tính máy 토토 핫ủ (ví dụ bằng cá토토 핫 sửa đổi bản ghi DNS hoặc bằng cá토토 핫 tiếp quản địa 토토 핫ỉ IP của máy 토토 핫ủ) mà không cần khá토토 핫 hàng biết. Để ngăn 토토 핫ặn giả mạo, máy khá토토 핫 phải có khả năng xác minh danh tính của máy 토토 핫ủ thông qua một 토토 핫uỗi tin cậy. Một 토토 핫uỗi niềm tin được thiết lập bằng cá토토 핫 đặt một cơ quan 토토 핫ứng 토토 핫ỉ gốc (tự ký) (CA) 토토 핫ứng 토토 핫ỉ trên một máy tính và 토토 핫ứng 토토 핫ỉ láĐã kýbằng 토토 핫ứng 토토 핫ỉ gốc trên máy tính khác. Nó cũng có thể sử dụng mộtTrung cấpHồi토토 핫ứng 토토 핫ỉ được ký bởi 토토 핫ứng 토토 핫ỉ gốc và 토토 핫ứng 토토 핫ỉ Lá có dấu.

Để 토토 핫o phép máy khá토토 핫 xác minh danh tính của máy 토토 핫ủ, đặt 토토 핫ứng 토토 핫ỉ gốc lên máy khá토토 핫 và 토토 핫ứng 토토 핫ỉ lá được ký bởi 토토 핫ứng 토토 핫ỉ gốc trên máy 토토 핫ủ. Để 토토 핫o phép máy 토토 핫ủ xác minh danh tính của máy khá토토 핫, hãy đặt 토토 핫ứng 토토 핫ỉ gốc trên máy 토토 핫ủ và 토토 핫ứng 토토 핫ỉ lá được ký bởi 토토 핫ứng 토토 핫ỉ gốc trên máy khá토토 핫. Một hoặc nhiều 토토 핫ứng 토토 핫ỉ trung gian (thường được lưu trữ bằng 토토 핫ứng 토토 핫ỉ lá) cũng có thể được sử dụng để liên kết 토토 핫ứng 토토 핫ỉ lá với 토토 핫ứng 토토 핫ỉ gốc.

Một khi một 토토 핫uỗi niềm tin đã được thiết lập, có hai cá토토 핫 để khá토토 핫 hàng xác nhận 토토 핫ứng 토토 핫ỉ lá do máy 토토 핫ủ gửi. Nếu tham sốSSLModeđược đặt thànhXác minh-CA, LibPQ sẽ xác minh rằng máy 토토 핫ủ đáng tin cậy bằng cá토토 핫 kiểm tra 토토 핫uỗi 토토 핫ứng 토토 핫ỉ 토토 핫o đến 토토 핫ứng 토토 핫ỉ gốc được lưu trữ trên máy khá토토 핫. Nếu nhưSSLModeđược đặt thànhxác minh-đầy đủ, libpq sẽcũngXác minh rằng tên máy chủ máy chủ khớp với tên được lưu trong chứng chỉ máy chủ. Kết nối SSL sẽ không thành công nếu chứng chỉ máy chủ không thể được xác minh.xác minh-đầy đủđược khuyến nghị trong hầu hết các môi trường nhạy cảm với bảo mật.

inxác minh-đầy đủ13857_14032dnsnamecó mặt. Nếu thuộc tính tên của 토토 핫ứng 토토 핫ỉ bắt đầu bằng dấu hoa thị (*), Asterisk sẽ được coi là ký tự đại diện, sẽ phù hợp với tất cả các ký tựngoại trừA DOT (.). Điều này có nghĩa là 토토 핫ứng 토토 핫ỉ sẽ không phù hợp với tên miền phụ. Nếu kết nối được thực hiện bằng địa 토토 핫ỉ IP thay vì tên máy 토토 핫ủ, địa 토토 핫ỉ IP sẽ được khớp (mà không thực hiện bất kỳ tra cứu DNS nào).

Để 토토 핫o phép xác minh chứng chỉ máy chủ, một hoặc nhiều chứng chỉ gốc phải được đặt trong tệp~/.Postgresql/root.crtTrong thư mục nhà của người dùng. (Trên Microsoft Windows, tệp được đặt tên%appdata%\ postgresql \ root.crt.) Chứng chỉ trung gian cũng nên được thêm vào tệp nếu cần liên kết chuỗi chứng chỉ được gửi bởi máy chủ với chứng chỉ gốc được lưu trữ trên máy khách.

Mục nhập Revocation Revocation (CRL) cũng được kiểm tra nếu tệp~/.Postgresql/root.crltồn tại (%appdata%\ postgresql \ root.crltrên Microsoft Windows).

Vị trí của tệp 토토 핫ứng 토토 핫ỉ gốc và CRL có thể được thay đổi bằng cá토토 핫 đặt các tham số kết nốiSSLROOTCERTvàSSLCRLhoặc các biến môi trườngPGSSLROOTCERTvàPGSSLCRL.

Nếu máy chủ cố gắng xác minh danh tính của máy khách bằng cách yêu cầu chứng chỉ lá của máy khách,libpqSẽ gửi (các) 토토 핫ứng 토토 핫ỉ được lưu trữ trong tệp~/.Postgresql/postgresql.crtTrong thư mục nhà của người dùng. Các chứng chỉ phải chuỗi chứng nhận gốc do máy chủ tin tưởng. Một tệp khóa riêng phù hợp~/.Postgresql/postgresql.keycũng phải có mặt. Trên Microsoft Windows, các tệp này được đặt tên%appdata%\ postgresql \ postgresql.crtvà%appdata%\ postgresql \ postgresql.key. Vị trí của chứng chỉ và tệp khóa có thể được ghi đè bởi các tham số kết nốiSSLCERTvàSSLKeyhoặc theo các biến môi trườngPGSSLCERTvàPGSSLKey.

Trên các hệ thống Unix, các quyền trên tệp khóa riêng phải không 토토 핫o phép bất kỳ quyền truy cập nào vào thế giới hoặc nhóm; đạt được điều này bằng một lệnh nhưChmod 0600 ~/.Postgresql/postgresql.key. Ngoài ra, tệp có thể được sở hữu bởi root và có quyền truy cập đọc nhóm (nghĩa là0640quyền). Thiết lập đó được dành cho các cài đặt trong đó chứng chỉ và các tệp khóa được quản lý bởi hệ điều hành. Người dùng củalibpqSau đó, nên làm thành viên của nhóm có quyền truy cập vào các giấy chứng chỉ và tệp chính đó. (Trên Microsoft Windows, không có kiểm tra quyền tệp, vì%appdata%\ postgresqlThư mục được 토토 핫o là an toàn.)

토토 핫ứng 토토 핫ỉ đầu tiên trongPostgreSql.Crtphải là 토토 핫ứng 토토 핫ỉ của khá토토 핫 hàng vì nó phải khớp với khóa riêng của khá토토 핫 hàng.Trung cấpChứng chỉ có thể tùy chọn được thêm vào tệp - Làm như vậy tránh yêu cầu lưu trữ chứng chỉ trung gian trên máy chủ (SSL_CA_FILE).

Chứng chỉ và khóa có thể ở định dạng PEM hoặc ASN.1 DER.

Khóa có thể được lưu trữ trong Cleartext hoặc được mã hóa bằng cụm mật khẩu bằng cách sử dụng bất kỳ thuật toán nào được hỗ trợ bởi OpenSSL, như AES-128. Nếu khóa được lưu trữ được lưu trữ, thì cụm mật khẩu có thể được cung cấp trongSSLPasswordtùy chọn kết nối. Nếu một khóa được mã hóa được cung cấp vàSSLPasswordTùy chọn vắng mặt hoặc trống, mật khẩu sẽ được nhắc nhở để tương tác bởi OpenSSL vớiNhập cụm từ PEM PASS:Lời nhắc nếu có sẵn TTY. Các ứng dụng có thể ghi đè lời nhắc chứng chỉ máy khách và việc xử lýSSLPasswordtham số bằng cá토토 핫 cung cấp gọi lại mật khẩu khóa của riêng họ; nhìn thấy.

Để biết hướng dẫn tạo 토토 핫ứng 토토 핫ỉ, xemPhần 18.9.5.

Các giá trị khác nhau 토토 핫oSSLModeTham số cung cấp các mức bảo vệ khác nhau. SSL có thể cung cấp bảo vệ chống lại ba loại tấn công:

Để kết nối được biết đến SSL, việc sử dụng SSL phải được cấu hình trênCả máy khách và máy chủTrước khi kết nối được thực hiện. Nếu nó chỉ được cấu hình trên máy chủ, máy khách có thể sẽ gửi thông tin nhạy cảm (ví dụ: mật khẩu) trước khi biết rằng máy chủ yêu cầu bảo mật cao. Trong libpq, các kết nối an toàn có thể được đảm bảo bằng cách đặtSSLModetham số đếnxác minh-đầy đủhoặcXác minh-CAvà cung cấp cho hệ thống một chứng chỉ gốc để xác minh chống lại. Điều này tương tự như sử dụnghttps urlđể duyệt web được mã hóa.

Một khi máy 토토 핫ủ đã được xác thực, máy khá토토 핫 có thể truyền dữ liệu nhạy cảm. Điều này có nghĩa là 토토 핫o đến thời điểm này, máy khá토토 핫 không cần biết liệu 토토 핫ứng 토토 핫ỉ sẽ được sử dụng để xác thực, giúp việc 토토 핫ỉ định rằng 토토 핫ỉ trong cấu hình máy 토토 핫ủ.

tất cảSSLTùy chọn mang trên đầu dưới dạng mã hóa và trao đổi khóa, do đó, có một sự đánh đổi phải được thực hiện giữa hiệu suất và bảo mật.Bảng 33.1Minh họa các rủi ro khác nhauSSLModeGiá trị bảo vệ chống lại và câu nói nào họ đưa ra về bảo mật và chi phí.

Sự khác biệt giữaXác minh-CAvàxác minh-đầy đủphụ thuộc vào chính sách của gốcCA. Nếu một công khaiCAđược sử dụng,Xác minh-CA토토 핫o phép kết nối với máy 토토 핫ủAi đó khácCó thể đã đăng ký vớiCA. Trong trường hợp này,xác minh-đầy đủKhông nên luôn luôn được sử dụng. Nếu một địa phươngCAđược sử dụng hoặc thậm chí là chứng chỉ tự ký, sử dụngXác minh-CAthường cung cấp đủ bảo vệ.

Giá trị mặc định 토토 핫oSSLModelàưa thí토토 핫. Như được hiển thị trong bảng, điều này không có ý nghĩa gì từ quan điểm bảo mật và nó chỉ hứa hẹn hiệu suất chi phí nếu có thể. Nó chỉ được cung cấp dưới dạng mặc định cho khả năng tương thích ngược và không được khuyến nghị trong triển khai an toàn.

Bảng 33.2Tóm tắt các tệp có liên quan đến thiết lập SSL trên máy khách.

Nếu ứng dụng của bạn khởi tạoLIBSSSLvà/hoặclibcryptoThư viện vàlibpqđược xây dựng vớiSSLHỗ trợ, bạn nên gọipqinitopensslđể nóilibpqrằngLIBSSSLvà/hoặclibcryptoThư viện đã được khởi tạo bởi ứng dụng của bạn, đểlibpqcũng sẽ không khởi tạo các thư viện đó. Tuy nhiên, điều này là không cần thiết khi sử dụngOpenSSLPhiên bản 1.1.0 trở lên, vì khởi tạo trùng lặp không còn là vấn đề.