기본적으로,포스트그레SQL서버 인증서 확인을 수행하지 않습니다. 이는 클라이언트가 알지 못하는 사이에 서버 ID를 스푸핑(예: DNS 레코드를 수정하거나 서버 IP 주소를 탈취하는 등)할 수 있음을 의미합니다. 스푸핑을 방지하려면 클라이언트가 신뢰 체인을 통해 서버의 신원을 확인할 수 있어야 합니다. 루트(자체 서명) 인증 기관을 배치하여 신뢰 체인이 설정됩니다(캘리포니아) 한 컴퓨터의 인증서 및 리프 인증서서명됨다른 컴퓨터의 루트 인증서로. 다음을 사용하는 것도 가능합니다.“중급”루트 인증서로 서명되고 리프 인증서에 서명하는 인증서입니다.

클라이언트가 서버의 신원을 확인하도록 허용하려면 클라이언트에 루트 인증서를 배치하고 서버에 루트 인증서로 서명된 리프 인증서를 배치하십시오. 서버가 클라이언트의 신원을 확인할 수 있도록 하려면 서버에 루트 인증서를 배치하고 클라이언트에 루트 인증서로 서명된 리프 인증서를 배치하십시오. 하나 이상의 중간 인증서(일반적으로 리프 인증서와 함께 저장됨)를 사용하여 리프 인증서를 루트 인증서에 연결할 수도 있습니다.

신뢰 체인이 구축되면 클라이언트가 서버에서 보낸 리프 인증서의 유효성을 검사하는 두 가지 방법이 있습니다. 매개변수인 경우sslmode다음으로 설정됨verify-ca, libpq는 클라이언트에 저장된 루트 인증서까지 인증서 체인을 확인하여 서버를 신뢰할 수 있는지 확인합니다. 만일sslmode다음으로 설정됨확인-전체, libpq는또한서버 호스트 이름이 서버 인증서에 저장된 이름과 일치하는지 확인하세요. 서버 인증서를 확인할 수 없으면 SSL 연결이 실패합니다.확인-전체보안에 민감한 대부분의 환경에서는 권장됩니다.

에확인-전체모드에서 호스트 이름은 인증서의 주체 대체 이름 속성과 일치하거나, 주체 대체 이름 유형이 없는 경우 일반 이름 속성과 일치합니다.dNS이름존재합니다. 인증서의 이름 속성이 별표()로 시작하는 경우*), 별표는 모든 문자와 일치하는 와일드카드로 처리됩니다.제외점(.). 이는 인증서가 하위 도메인과 일치하지 않음을 의미합니다. 호스트 이름 대신 IP 주소를 사용하여 연결하는 경우 IP 주소가 일치합니다(DNS 조회를 수행하지 않음).

서버 인증서 확인을 허용하려면 하나 이상의 루트 인증서가 파일에 있어야 합니다.~/.토토 사이트/root.crt사용자의 홈 디렉토리. (Microsoft Windows에서는 파일 이름이 지정됩니다.%APPDATA%\토토 사이트\root.crt.) 서버에서 보낸 인증서 체인을 클라이언트에 저장된 루트 인증서에 연결하는 데 필요한 경우 중간 인증서도 파일에 추가해야 합니다.

인증서 해지 목록(CRL) 항목은 파일이 다음과 같은 경우에도 확인됩니다.~/.토토 사이트/root.crl존재합니다 (%APPDATA%\토토 사이트\root.crlMicrosoft Windows의 경우).

루트 인증서 파일과 CRL의 위치는 연결 매개변수를 설정하여 변경할 수 있습니다.sslrootcert그리고sslcrl또는 환경 변수PGSSLROOTCERT그리고PGSSLCRL. sslcrldir또는 환경 변수PGSSLCRLDIR또한 CRL 파일이 포함된 디렉터리를 지정하는 데 사용할 수 있습니다.

서버가 클라이언트의 리프 인증서를 요청하여 클라이언트의 신원을 확인하려고 시도하는 경우,libpq파일에 저장된 인증서를 보냅니다~/.토토 사이트/토토 사이트.crt사용자의 홈 디렉토리. 인증서는 서버에서 신뢰하는 루트 인증서에 연결되어야 합니다. 일치하는 개인 키 파일~/.토토 사이트/토토 사이트.key또한 있어야 합니다. Microsoft Windows에서는 이러한 파일의 이름이 지정됩니다.%APPDATA%\토토 사이트\토토 사이트.crt그리고%APPDATA%\토토 사이트\토토 사이트.key. 인증서 및 키 파일의 위치는 연결 매개변수로 재정의될 수 있습니다.sslcert그리고sslkey또는 환경 변수에 의해PGSSLCERT그리고PGSSLKEY.

Unix 시스템에서는 개인 키 파일에 대한 권한이 월드나 그룹에 대한 접근을 허용하지 않아야 합니다. 다음과 같은 명령으로 이를 달성합니다.chmod 0600 ~/.토토 사이트/토토 사이트.key. 또는 루트가 파일을 소유하고 그룹 읽기 액세스 권한을 가질 수 있습니다(즉,0640권한). 해당 설정은 운영 체제에서 인증서 및 키 파일을 관리하는 설치를 위한 것입니다. 사용자는libpq그러면 해당 인증서 및 키 파일에 액세스할 수 있는 그룹의 구성원이 되어야 합니다. (Microsoft Windows에서는 파일 권한 확인이 없습니다.%APPDATA%\토토 사이트디렉터리는 안전한 것으로 간주됩니다.)

첫 번째 인증서토토 사이트.crt클라이언트의 개인 키와 일치해야 하므로 클라이언트의 인증서여야 합니다.“중급”인증서는 선택적으로 파일에 추가될 수 있습니다. 이렇게 하면 서버에 중간 인증서를 저장할 필요가 없습니다(ssl_ca_file).

인증서와 키는 PEM 또는 ASN.1 DER 형식일 수 있습니다.

키는 일반 텍스트로 저장되거나 다음에서 지원하는 알고리즘을 사용하여 암호로 암호화될 수 있습니다.오픈SSL, AES-128과 같습니다. 키가 암호화되어 저장된 경우 암호는ssl비밀번호연결 옵션. 암호화된 키가 제공되고ssl비밀번호옵션이 없거나 비어 있으면 다음에 의해 대화식으로 비밀번호를 묻는 메시지가 표시됩니다.오픈SSL와 함께PEM 비밀번호 문구 입력:TTY를 사용할 수 있는지 묻는 메시지를 표시합니다. 애플리케이션은 클라이언트 인증서 프롬프트와ssl비밀번호매개변수를 자체 키 비밀번호 콜백으로 제공합니다. 참조PQsetSSLKeyPassHook_OpenSSL.

인증서 생성에 대한 지침은 참조섹션 19.9.5.

다음의 다른 값sslmode매개변수는 다양한 보호 수준을 제공합니다. SSL은 세 가지 유형의 공격으로부터 보호할 수 있습니다.

연결이 SSL 보안으로 알려지려면 SSL 사용이 다음에서 구성되어야 합니다.클라이언트와 서버 모두연결이 이루어지기 전에. 서버에만 구성된 경우 클라이언트는 서버에 높은 보안이 필요하다는 사실을 알기 전에 민감한 정보(예: 비밀번호)를 보낼 수 있습니다. libpq에서는 다음을 설정하여 보안 연결을 보장할 수 있습니다.sslmode매개변수 ~확인-전체또는verify-ca, 시스템에 확인할 루트 인증서를 제공합니다. 이는를 사용하는 것과 유사합니다.https URL암호화된 웹 탐색용.

서버가 인증되면 클라이언트는 민감한 데이터를 전달할 수 있습니다. 즉, 이 시점까지는 클라이언트가 인증에 인증서가 사용될지 여부를 알 필요가 없으므로 서버 구성에서만 이를 지정하는 것이 안전합니다.

모두SSL옵션은 암호화 및 키 교환 형태로 오버헤드를 수행하므로 성능과 보안 간에 절충이 필요합니다.표 34.1다양한 위험을 설명합니다sslmode값은 보호를 제공하며 보안 및 오버헤드에 대해 어떤 설명을 제공하는지.

차이점verify-ca그리고확인-전체루트 정책에 따라 다름캘리포니아. 일반인인 경우캘리포니아사용됩니다.verify-ca서버에 대한 연결을 허용합니다.다른 사람다음에 등록되었을 수 있습니다.캘리포니아. 이 경우,전체 확인항상 사용해야 합니다. 현지인 경우캘리포니아또는 자체 서명된 인증서를 사용하여verify-ca종종 충분한 보호를 제공합니다.

기본값sslmodeis선호. 표에서 볼 수 있듯이 이는 보안 관점에서 볼 때 의미가 없으며 가능한 경우 성능 오버헤드만 약속합니다. 이전 버전과의 호환성을 위한 기본값으로만 제공되며 보안 배포에서는 권장되지 않습니다.

표 34.2클라이언트의 SSL 설정과 관련된 파일을 요약합니다.

애플리케이션이 초기화되는 경우libssl및/또는libcrypto라이브러리 및libpq다음으로 구축됨SSL지원, 전화로 문의하세요PQinitOpenSSL말하다libpq그것은libssl및/또는libcrypto라이브러리가 귀하의 응용 프로그램에 의해 초기화되었으므로libpq또한 해당 라이브러리를 초기화하지 않습니다. 그러나 다음을 사용하는 경우에는 필요하지 않습니다.오픈SSL버전 1.1.0 이상, 중복 초기화는 더 이상 문제가 되지 않습니다.