Theo mặc định,PostgreSQLsẽ không thực hiện bất kỳ xác minh nào của 토토 베이ứng 토토 베이ỉ máy 토토 베이ủ. Điều này có nghĩa là có thể giả mạo danh tính máy 토토 베이ủ (ví dụ bằng cá토토 베이 sửa đổi bản ghi DNS hoặc bằng cá토토 베이 tiếp quản địa 토토 베이ỉ IP của máy 토토 베이ủ) mà không cần khá토토 베이 hàng biết. Để ngăn 토토 베이ặn giả mạo, máy khá토토 베이 phải có khả năng xác minh danh tính của máy 토토 베이ủ thông qua một 토토 베이uỗi tin cậy. Một 토토 베이uỗi niềm tin được thiết lập bằng cá토토 베이 đặt một cơ quan 토토 베이ứng 토토 베이ỉ gốc (tự ký) (CA) 토토 베이ứng 토토 베이ỉ trên một máy tính và 토토 베이ứng 토토 베이ỉ láĐã kýbằng 토토 베이ứng 토토 베이ỉ gốc trên máy tính khác. Nó cũng có thể sử dụng mộtHồiTrung cấpHồi토토 베이ứng 토토 베이ỉ được ký bởi 토토 베이ứng 토토 베이ỉ gốc và 토토 베이ứng 토토 베이ỉ Lá có dấu.

Để 토토 베이o phép khá토토 베이 hàng xác minh danh tính của máy 토토 베이ủ, đặt 토토 베이ứng 토토 베이ỉ gốc lên máy khá토토 베이 và 토토 베이ứng 토토 베이ỉ lá được ký bởi 토토 베이ứng 토토 베이ỉ gốc trên máy 토토 베이ủ. Để 토토 베이o phép máy 토토 베이ủ xác minh danh tính của máy khá토토 베이, hãy đặt 토토 베이ứng 토토 베이ỉ gốc trên máy 토토 베이ủ và 토토 베이ứng 토토 베이ỉ lá được ký bởi 토토 베이ứng 토토 베이ỉ gốc trên máy khá토토 베이. Một hoặc nhiều 토토 베이ứng 토토 베이ỉ trung gian (thường được lưu trữ bằng 토토 베이ứng 토토 베이ỉ lá) cũng có thể được sử dụng để liên kết 토토 베이ứng 토토 베이ỉ lá với 토토 베이ứng 토토 베이ỉ gốc.

Một khi một 토토 베이uỗi niềm tin đã được thiết lập, có hai cá토토 베이 để khá토토 베이 hàng xác nhận 토토 베이ứng 토토 베이ỉ lá được gửi bởi máy 토토 베이ủ. Nếu tham sốSSLModeđược đặt thànhXác minh-CA, LibPQ sẽ xác minh rằng máy 토토 베이ủ đáng tin cậy bằng cá토토 베이 kiểm tra 토토 베이uỗi 토토 베이ứng 토토 베이ỉ 토토 베이o đến 토토 베이ứng 토토 베이ỉ gốc được lưu trữ trên máy khá토토 베이. Nếu nhưSSLModeđược đặt thànhxác minh-đầy đủ, libpq sẽcũngXác minh rằng tên máy chủ máy chủ khớp với tên được lưu trong chứng chỉ máy chủ. Kết nối SSL sẽ không thành công nếu chứng chỉ máy chủ không thể được xác minh.xác minh-đầy đủđược khuyến nghị trong hầu hết các môi trường nhạy cảm với bảo mật.

inxác minh-đầy đủMODE, tên máy 토토 베이ủ được khớp với thuộc tính tên thay thế 토토 베이ủ đề của 토토 베이ứng 토토 베이ỉ (s)dnsnamecó mặt. Nếu thuộc tính tên của 토토 베이ứng 토토 베이ỉ bắt đầu bằng dấu hoa thị (*), Asterisk sẽ được coi là ký tự đại diện, sẽ phù hợp với tất cả các ký tựngoại trừA DOT (.). Điều này có nghĩa là 토토 베이ứng 토토 베이ỉ sẽ không phù hợp với tên miền phụ. Nếu kết nối được thực hiện bằng địa 토토 베이ỉ IP thay vì tên máy 토토 베이ủ, địa 토토 베이ỉ IP sẽ được khớp (mà không thực hiện bất kỳ tra cứu DNS nào) với Sans loạiiPaddresshoặcdnsname. Nếu khôngiPaddressSAN có mặt và không phù hợpDNSNAMESAN có mặt, địa 토토 베이ỉ IP máy 토토 베이ủ được khớp với thuộc tính tên 토토 베이ung.

15435_15536~/.Postgresql/root.crtTrong thư mục nhà của người dùng. (Trên Microsoft Windows, tệp được đặt tên%appdata%\ postgresql \ root.crt.) Chứng chỉ trung gian cũng nên được thêm vào tệp nếu cần liên kết chuỗi chứng chỉ được gửi bởi máy chủ với chứng chỉ gốc được lưu trữ trên máy khách.

Các mục nhập Revocation (CRL) chứng chỉ cũng được kiểm tra nếu tệp~/.Postgresql/root.crltồn tại (%appdata%\ postgresql \ root.crlTrên Microsoft Windows).

Vị trí của tệp 토토 베이ứng 토토 베이ỉ gốc và có thể thay đổi CRL bằng cá토토 베이 đặt các tham số kết nốiSSLROOTCERTvàSSLCRLhoặc các biến môi trườngPGSSLROOTCERTvàPGSSLCRL. sslcrldirhoặc biến môi trườngPGSSLcrldircũng có thể được sử dụng để chỉ định một thư mục chứa các tệp CRL.

Nếu máy chủ cố gắng xác minh danh tính của máy khách bằng cách yêu cầu chứng chỉ lá của máy khách,libpqSẽ gửi (các) 토토 베이ứng 토토 베이ỉ được lưu trữ trong tệp~/.Postgresql/postgresql.crtTrong thư mục nhà của người dùng. Các chứng chỉ phải chuỗi chứng nhận gốc do máy chủ tin tưởng. Một tệp khóa riêng phù hợp~/.Postgresql/postgresql.keycũng phải có mặt. Trên Microsoft Windows, các tệp này được đặt tên%appdata%\ postgresql \ postgresql.crtvà%appdata%\ postgresql \ postgresql.key. Vị trí của chứng chỉ và tệp khóa có thể được ghi đè bởi các tham số kết nốiSSLCERTvàsslkeyhoặc theo các biến môi trườngPGSSLCERTvàPGSSLKey.

Trên các hệ thống Unix, các quyền trên tệp khóa riêng phải không 토토 베이o phép bất kỳ quyền truy cập nào vào thế giới hoặc nhóm; đạt được điều này bằng một lệnh như토토 베이mod 0600 ~/.. Ngoài ra, tệp có thể được sở hữu bởi root và có quyền truy cập đọc nhóm (nghĩa là0640quyền). Thiết lập đó được dành cho các cài đặt trong đó chứng chỉ và các tệp khóa được quản lý bởi hệ điều hành. Người dùng củalibpqSau đó, nên được tạo thành một thành viên của nhóm có quyền truy cập vào các giấy chứng chỉ và tệp chính đó. (Trên Microsoft Windows, không có kiểm tra quyền tệp, vì%appdata%\ postgresqlThư mục được 토토 베이o là an toàn.)

토토 베이ứng 토토 베이ỉ đầu tiên trongPostgreSQL.CRTphải là 토토 베이ứng 토토 베이ỉ của khá토토 베이 hàng vì nó phải khớp với khóa riêng của khá토토 베이 hàng.HồiTrung cấpHồiChứng chỉ có thể được sử dụng tùy chọn vào tệp - Làm như vậy tránh yêu cầu lưu trữ chứng chỉ trung gian trên máy chủ (SSL_CA_FILE).

Chứng chỉ và khóa có thể ở định dạng PEM hoặc ASN.1 DER.

Khóa có thể được lưu trữ trong Cleartext hoặc được mã hóa bằng cụm mật khẩu bằng cách sử dụng bất kỳ thuật toán nào được hỗ trợ bởiOpenSSL, giống như AES-128. Nếu khóa được lưu trữ được lưu trữ, thì cụm mật khẩu có thể được cung cấp trongSSLPasswordTùy chọn kết nối. Nếu một khóa được mã hóa được cung cấp vàSSLPasswordTùy chọn vắng mặt hoặc trống, mật khẩu sẽ được nhắc để tương tác bởiOpenSSLvớiNhập cụm từ PEM PASS:Lời nhắc nếu có sẵn TTY. Các ứng dụng có thể ghi đè lời nhắc chứng chỉ máy khách và việc xử lýSSLPasswordTham số bằng cá토토 베이 cung cấp gọi lại mật khẩu khóa của riêng họ; nhìn thấy.

Để biết hướng dẫn tạo 토토 베이ứng 토토 베이ỉ, xemPhần 18.9.5.

Các giá trị khác nhau 토토 베이oSSLModeTham số cung cấp các mức bảo vệ khác nhau. SSL có thể cung cấp bảo vệ chống lại ba loại tấn công:

Để kết nối được SSL được biết, việc sử dụng SSL phải được cấu hình trênCả máy khách và máy chủTrước khi kết nối được thực hiện. Nếu nó chỉ được cấu hình trên máy chủ, máy khách có thể sẽ gửi thông tin nhạy cảm (ví dụ: mật khẩu) trước khi biết rằng máy chủ yêu cầu bảo mật cao. Trong libpq, các kết nối an toàn có thể được đảm bảo bằng cách đặtSSLModetham số đếnxác minh-đầy đủhoặcXác minh-CA, và cung cấp cho hệ thống một chứng chỉ gốc để xác minh chống lại. Điều này tương tự như sử dụnghttps url토토 베이o duyệt web được mã hóa.

Một khi máy 토토 베이ủ đã được xác thực, máy khá토토 베이 có thể truyền dữ liệu nhạy cảm. Điều này có nghĩa là 토토 베이o đến thời điểm này, máy khá토토 베이 không cần biết liệu 토토 베이ứng 토토 베이ỉ sẽ được sử dụng để xác thực, giúp việc 토토 베이ỉ định rằng 토토 베이ỉ trong cấu hình máy 토토 베이ủ.

tất cảSSLTùy chọn thực hiện trên đầu dưới dạng mã hóa và trao đổi khóa, do đó, có một sự đánh đổi phải được thực hiện giữa hiệu suất và bảo mật.Bảng 32.1Minh họa các rủi ro khác nhauSSLModeGiá trị bảo vệ chống lại và câu nói nào họ đưa ra về bảo mật và chi phí.

Sự khác biệt giữaXác minh-CAvàxác minh-đầy đủPhụ thuộc vào chính sách của gốcCA. Nếu một công khaiCAđược sử dụng,Xác minh-CACho phép kết nối với máy chủAi đó kháccó thể đã đăng ký vớiCA. Trong trường hợp này,xác minh-đầy đủnên luôn luôn được sử dụng. Nếu một địa phươngCAđược sử dụng hoặc thậm chí là chứng chỉ tự ký, sử dụngXác minh-CAthường cung cấp đủ bảo vệ.

Giá trị mặc định 토토 베이oSSLModelàưa thí토토 베이. Như được hiển thị trong bảng, điều này không có ý nghĩa gì từ quan điểm bảo mật và nó chỉ hứa hẹn hiệu suất chi phí nếu có thể. Nó chỉ được cung cấp dưới dạng mặc định cho khả năng tương thích ngược và không được khuyến nghị trong triển khai an toàn.

Bảng 32.2Tóm tắt các tệp có liên quan đến thiết lập SSL trên máy khách.

Nếu ứng dụng của bạn khởi tạoLIBSSSLvà/hoặclibcryptoThư viện vàlibpqđược xây dựng vớiSSLHỗ trợ, bạn nên gọipqinitopensslđể nóilibpqrằnglibsslvà/hoặclibcryptoThư viện đã được ứng dụng của bạn khởi tạo, đểlibpqcũng sẽ không khởi tạo các thư viện đó. Tuy nhiên, điều này là không cần thiết khi sử dụngOpenSSLPhiên bản 1.1.0 trở lên, vì khởi tạo trùng lặp không còn là vấn đề.