Trong khi kèo bóng đá pháp chủ đang chạy, người dùng độc hại không thể thay thế kèo bóng đá pháp chủ cơ sở dữ liệu thông thường. Tuy nhiên, khi kèo bóng đá pháp chủ bị hỏng, người dùng cục bộ có thể giả mạo kèo bóng đá pháp chủ thông thường bằng cách khởi động kèo bóng đá pháp chủ của riêng họ. kèo bóng đá pháp chủ giả mạo có thể đọc mật khẩu và truy vấn được gửi bởi các kèo bóng đá pháp khách, nhưng không thể trả về bất kỳ dữ liệu nào vìPGDATAThư mục vẫn sẽ được bảo mật vì quyền thư mục. Giả mạo là có thể vì bất kỳ người dùng nào cũng có thể khởi động kèo bóng đá pháp chủ cơ sở dữ liệu; kèo bóng đá pháp khách không thể xác định một kèo bóng đá pháp chủ không hợp lệ trừ khi nó được cấu hình đặc biệt.

Một cách để tránh giả kèo bóng đá phápcục bộKết nối là sử dụng thư mục ổ cắm miền UNIX (unix_socket_directories) chỉ có quyền ghi cho người dùng địa phương đáng tin cậy. Điều này ngăn người dùng độc hại tạo tệp ổ cắm của riêng họ trong thư mục đó. Nếu bạn lo ngại rằng một số ứng dụng vẫn có thể tham chiếu/TMP11050_11165/tmp/.s.pgsql.5432chỉ vào tệp ổ cắm được di dời. Bạn cũng có thể cần phải sửa đổi của bạn/TMP11323_11381

Tùy chọn khác chocục bộKết nối dành cho kèo bóng đá pháp khách sử dụngYêu cầuĐể chỉ định chủ sở hữu yêu cầu của quy trình kèo bóng đá pháp chủ được kết nối với ổ cắm.

11676_11876

Để tránh giả mạo với SSL, kèo bóng đá pháp chủ phải được cấu hình để chỉ chấp nhậnhostsslKết nối (Phần 20.1) và có khóa SSL và các tệp chứng chỉ (Phần 18.9). kèo bóng đá pháp khách TCP phải kết nối bằngsslMode = xác minh-cahoặcxác minh-đầy đủvà cài đặt tệp chứng chỉ gốc thích hợp (Phần 33.18.1).

Để tránh giả mạo với GSSAPI, kèo bóng đá pháp chủ phải được cấu hình để chỉ chấp nhậnHostGssENCKết nối (Phần 20.1) và sử dụngGSSXác thực với họ. kèo bóng đá pháp khách TCP phải kết nối bằnggssencmode = yêu cầu.