Изменение пароля пользователя PostgreSQL с MD5 на scram-sha-265 - PullRequest
Новая
       12

Изменение пароля пользователя PostgreSQL с MD5 на scram-sha-265

0 голосов
/ 26 ноября 2018

Я смотрел на этот Измените вопрос шифрования паролей PostgreSQL с MD5 на SHA , чтобы выяснить, как изменить хеширование пользовательских паролей в Postgres на нечто иное, чем MD5, поскольку, насколько я понимаю, оно в основном устарело сейчас.

Но мне любопытно, понадобится ли изменение в файле pg_hpa.conf для сервера, так как согласно этому уроку https://blog.bigbinary.com/2016/01/23/configure-postgresql-to-allow-remote-connection.html вам необходимо добавить следующее:

host    all             all              0.0.0.0/0                       md5
host    all             all              ::/0                            md5

Нужно ли менять "md5"?Или это просто для того, чтобы указать, что требуется пароль, и на него не повлияет изменение функции хеширования на scram-sha-256?

1 Ответ

0 голосов
/ 26 ноября 2018

Вы можете сохранить md5 в качестве метода аутентификации в pg_hba.conf, даже если вы измените password_encryption на scram-sha-256.Это просто необычно.

Основная причина, по которой это необычно, заключается в том, что с password_encryption = scram-sha-256 клиент должен все равно понимать новый метод хеширования, чтобы иметь возможность вычислить хешированный пароль из пароля, введенного пользователем.пользователь.Тогда почему бы не использовать его для более безопасной аутентификации?

Чтобы избежать путаницы, я хотел бы добавить, что в PostgreSQL выполняются две разные операции хеширования паролей:

  1. Пароль, который вводит пользователь, хешируется (вместе с именем пользователя) для создания фактического пароля PostgreSQL, который хранится в pg_authid.Это сделано для того, чтобы избежать проблемы, связанной с тем, что кто-то украл пароль и повторно использует его в других системах.

  2. Во время аутентификации сервер запрашивает у клиента создание хэша пароля (который уже хеширован).из предыдущего шага) с определенной солью.Этот «дважды хешированный» пароль затем отправляется по линии.

Другими словами, ваш вопрос был следующим: можем ли мы использовать scram-sha-256 для первой точки и md5 длявторой

...