Theo mặc định,PostgreSQLsẽ không thực hiện bất kỳ xác minh nào của chứng chỉ kèo chấp bóng đá hôm nay chủ. Điều này có nghĩa là có thể giả mạo danh tính kèo chấp bóng đá hôm nay chủ (ví dụ bằng cách sửa đổi bản ghi DNS hoặc bằng cách tiếp quản địa chỉ IP của kèo chấp bóng đá hôm nay chủ) mà không cần khách hàng biết.CA) Chứng chỉ trên một kèo chấp bóng đá hôm nay tính và chứng chỉ láĐã kýbằng chứng chỉ gốc trên kèo chấp bóng đá hôm nay tính khác. Nó cũng có thể sử dụng mộtHồiTrung cấpHồikèo chấp bóng đá hôm nay chỉ được ký bởi kèo chấp bóng đá hôm nay chỉ gốc và kèo chấp bóng đá hôm nay chỉ Lá có dấu.

Để cho phép khách hàng xác minh danh tính của kèo chấp bóng đá hôm nay chủ, đặt chứng chỉ gốc lên kèo chấp bóng đá hôm nay khách và chứng chỉ lá được ký bởi chứng chỉ gốc trên kèo chấp bóng đá hôm nay chủ. Để cho phép kèo chấp bóng đá hôm nay chủ xác minh danh tính của kèo chấp bóng đá hôm nay khách, hãy đặt chứng chỉ gốc trên kèo chấp bóng đá hôm nay chủ và chứng chỉ lá được ký bởi chứng chỉ gốc trên kèo chấp bóng đá hôm nay khách.

Một khi một chuỗi niềm tin đã được thiết lập, có hai cách để khách hàng xác nhận chứng chỉ lá được gửi bởi kèo chấp bóng đá hôm nay chủ. Nếu tham sốSSLModeđược đặt thànhXác minh-CA, LibPQ sẽ xác minh rằng kèo chấp bóng đá hôm nay chủ đáng tin cậy bằng cách kiểm tra chuỗi chứng chỉ cho đến chứng chỉ gốc được lưu trữ trên kèo chấp bóng đá hôm nay khách. Nếu nhưSSLModeđược đặt thànhxác minh-đầy đủ, libpq sẽcũngXác minh rằng tên máy chủ máy chủ phù hợp với tên được lưu trữ trong chứng chỉ máy chủ. Kết nối kèo chấp bóng đá hôm nay sẽ không thành công nếu chứng chỉ máy chủ không thể được xác minh.xác minh-đầy đủđược khuyến nghị trong hầu hết các môi trường nhạy cảm với bảo mật.

inxác minh-đầy đủMODE, tên kèo chấp bóng đá hôm nay chủ được khớp với thuộc tính tên thay thế chủ đề của chứng chỉ (s)dnsnamecó mặt. Nếu thuộc tính tên của kèo chấp bóng đá hôm nay chỉ bắt đầu bằng dấu hoa thị (*), Asterisk sẽ được coi là ký tự đại diện, sẽ phù hợp với tất cả các ký tựngoại trừA DOT (.). Điều này có nghĩa là kèo chấp bóng đá hôm nay chỉ sẽ không phù hợp với tên miền phụ.iPaddresshoặcdnsname. Nếu khôngiPaddressSAN có mặt và không phù hợpDNSNAMESAN có mặt, địa chỉ IP kèo chấp bóng đá hôm nay chủ được khớp với thuộc tính tên chung.

15435_15536~/.Postgresql/root.crtTrong thư mục nhà của người dùng. (Trên Microsoft Windows, tệp được đặt tên%appdata%\ postgresql \ root.crt.) Chứng chỉ trung gian cũng nên được thêm vào tệp nếu cần liên kết chuỗi chứng chỉ được gửi bởi kèo chấp bóng đá hôm nay chủ với chứng chỉ gốc được lưu trữ trên kèo chấp bóng đá hôm nay khách.

Các mục nhập Revocation (CRL) kèo chấp bóng đá hôm nay chỉ cũng được kiểm tra nếu tệp~/.Postgresql/root.crltồn tại (%appdata%\ postgresql \ root.crlTrên Microsoft Windows).

Vị trí của tệp kèo chấp bóng đá hôm nay chỉ gốc và có thể thay đổi CRL bằng cách đặt các tham số kết nốiSSLROOTCERTvàSSLCRLhoặc các biến môi trườngPGSSLROOTCERTvàPGSSLCRL. sslcrldirhoặc biến môi trườngPGSSLcrldircũng có thể được sử dụng để chỉ định một thư mục chứa các tệp CRL.

Nếu kèo chấp bóng đá hôm nay chủ cố gắng xác minh danh tính của kèo chấp bóng đá hôm nay khách bằng cách yêu cầu chứng chỉ lá của kèo chấp bóng đá hôm nay khách,libpqSẽ gửi (các) kèo chấp bóng đá hôm nay chỉ được lưu trữ trong tệp~/.Postgresql/postgresql.crtTrong thư mục nhà của người dùng. Các chứng chỉ phải chuỗi chứng nhận gốc do kèo chấp bóng đá hôm nay chủ tin tưởng.~/.Postgresql/postgresql.keycũng phải có mặt. Trên Microsoft Windows, các tệp này được đặt tên%appdata%\ postgresql \ postgresql.crtvà%appdata%\ postgresql \ postgresql.key. Vị trí của kèo chấp bóng đá hôm nay chỉ và tệp khóa có thể được ghi đè bởi các tham số kết nốiSSLCERTvàsslkeyhoặc theo các biến môi trườngPGSSLCERTvàPGSSLKey.

Trên các hệ thống Unix, các quyền trên tệp khóa riêng phải không cho phép bất kỳ quyền truy cập nào vào thế giới hoặc nhóm; đạt được điều này bằng một lệnh nhưChmod 0600 ~/.. Ngoài ra, tệp có thể được sở hữu bởi root và có quyền truy cập đọc nhóm (nghĩa là0640quyền). Thiết lập đó được dành cho các cài đặt trong đó kèo chấp bóng đá hôm nay chỉ và các tệp khóa được quản lý bởi hệ điều hành.libpqSau đó, nên được tạo thành một thành viên của nhóm có quyền truy cập vào các giấy kèo chấp bóng đá hôm nay chỉ và tệp chính đó. (Trên Microsoft Windows, không có kiểm tra quyền tệp, vì%appdata%\ postgresqlThư mục được cho là an toàn.)

kèo chấp bóng đá hôm nay chỉ đầu tiên trongPostgreSQL.CRTphải là kèo chấp bóng đá hôm nay chỉ của khách hàng vì nó phải khớp với khóa riêng của khách hàng.HồiTrung cấpHồiChứng chỉ có thể được sử dụng tùy chọn vào tệp - Làm như vậy tránh yêu cầu lưu trữ chứng chỉ trung gian trên kèo chấp bóng đá hôm nay chủ (SSL_CA_FILE).

kèo chấp bóng đá hôm nay chỉ và khóa có thể ở định dạng PEM hoặc ASN.1 DER.

Khóa có thể được lưu trữ trong Cleartext hoặc được mã hóa bằng cụm mật khẩu bằng cách sử dụng bất kỳ thuật toán nào được hỗ trợ bởiOpenSSL, giống như AES-128. Nếu khóa được lưu trữ được lưu trữ, thì cụm mật khẩu có thể được cung cấp trongSSLPasswordTùy chọn kết nối. Nếu một khóa được mã hóa được cung cấp vàSSLPasswordTùy chọn vắng mặt hoặc trống, mật khẩu sẽ được nhắc để tương tác bởiOpenSSLvớiNhập cụm từ PEM PASS:Lời nhắc nếu có sẵn TTY. Các ứng dụng có thể ghi đè lời nhắc chứng chỉ kèo chấp bóng đá hôm nay khách và việc xử lýSSLPasswordTham số bằng cách cung cấp gọi lại mật khẩu khóa của riêng họ; nhìn thấy.

Để biết hướng dẫn tạo kèo chấp bóng đá hôm nay chỉ, xemPhần 18.9.5.

Các giá trị khác nhau choSSLModeTham số cung cấp các mức bảo vệ khác nhau. kèo chấp bóng đá hôm nay có thể cung cấp bảo vệ chống lại ba loại tấn công:

Để kết nối được kèo chấp bóng đá hôm nay được biết, việc sử dụng kèo chấp bóng đá hôm nay phải được cấu hình trênCả kèo chấp bóng đá hôm nay khách và kèo chấp bóng đá hôm nay chủTrước khi kết nối được thực hiện. Nếu nó chỉ được cấu hình trên kèo chấp bóng đá hôm nay chủ, kèo chấp bóng đá hôm nay khách có thể sẽ gửi thông tin nhạy cảm (ví dụ: mật khẩu) trước khi biết rằng kèo chấp bóng đá hôm nay chủ yêu cầu bảo mật cao.SSLModetham số đếnxác minh-đầy đủhoặcXác minh-CA, và cung cấp cho hệ thống một kèo chấp bóng đá hôm nay chỉ gốc để xác minh chống lại. Điều này tương tự như sử dụnghttps urlcho duyệt web được mã hóa.

Một khi kèo chấp bóng đá hôm nay chủ đã được xác thực, kèo chấp bóng đá hôm nay khách có thể truyền dữ liệu nhạy cảm. Điều này có nghĩa là cho đến thời điểm này, kèo chấp bóng đá hôm nay khách không cần biết liệu chứng chỉ sẽ được sử dụng để xác thực, giúp việc chỉ định rằng chỉ trong cấu hình kèo chấp bóng đá hôm nay chủ.

tất cảkèo chấp bóng đá hôm nayTùy chọn thực hiện trên đầu dưới dạng mã hóa và trao đổi khóa, do đó, có một sự đánh đổi phải được thực hiện giữa hiệu suất và bảo mật.Bảng 32.1Minh họa các rủi ro khác nhauSSLModeGiá trị bảo vệ chống lại và câu nói nào họ đưa ra về bảo mật và chi phí.

Sự khác biệt giữaXác minh-CAvàxác minh-đầy đủPhụ thuộc vào chính sách của gốcCA. Nếu một công khaiCAđược sử dụng,Xác minh-CACho phép kết nối với kèo chấp bóng đá hôm nay chủAi đó kháccó thể đã đăng ký vớiCA. Trong trường hợp này,xác minh-đầy đủnên luôn luôn được sử dụng. Nếu một địa phươngCAđược sử dụng hoặc thậm chí là kèo chấp bóng đá hôm nay chỉ tự ký, sử dụngXác minh-CAthường cung cấp đủ bảo vệ.

Giá trị mặc định choSSLModelàưa thích. Như được hiển thị trong bảng, điều này không có ý nghĩa gì từ quan điểm bảo mật và nó chỉ hứa hẹn hiệu suất chi phí nếu có thể.

Bảng 32.2Tóm tắt các tệp có liên quan đến thiết lập kèo chấp bóng đá hôm nay trên máy khách.

Nếu ứng dụng của bạn khởi tạoLIBSSSLvà/hoặclibcryptoThư viện vàlibpqđược xây dựng vớikèo chấp bóng đá hôm nayHỗ trợ, bạn nên gọipqinitopensslđể nóilibpqrằnglibsslvà/hoặclibcryptoThư viện đã được ứng dụng của bạn khởi tạo, đểlibpqcũng sẽ không khởi tạo các thư viện đó. Tuy nhiên, điều này là không cần thiết khi sử dụngOpenSSLPhiên bản 1.1.0 trở lên, vì khởi tạo trùng lặp không còn là vấn đề.