| PostgreSQL 9.6.0 手册 | |||
|---|---|---|---|
| 上一页 | 上一级 | 章 18. 服务器设置和操作 | 下一页 |
18.9. 用 SSL 进行安全的 TCP/IP 连接
PostgreSQL有一个对使用SSL连接加密客户端/服务器通讯的本地支持，它可以增加安全性。这个特性要求在客户端和服务器端都安装OpenSSL并且在编译PostgreSQL的时候打开这个支持（见第 16 章）。
当SSL支持被编译在PostgreSQL中时，可以通过将postgresql.conf中的 ssl设置为on让PostgreSQL服务器带着SSL支持被启动。 服务器在同一个 TCP 端口监听普通连接和SSL连接，并且将与任何正在连接的客户端协商是否使用SSL。默认情况下，这是客户端的选项，关于如何设置服务器来要求某些或者所有连接使用SSL请见第 20.1 节。
PostgreSQL读取系统范围的OpenSSL配置文件。默认情况下，这个文件名为openssl.cnf并且被放置在openssl version -d所报告的目录中。通过设置环境变量OPENSSL_CONF指定你想要的配置文件名可以覆盖此默认配置。
OpenSSL支持范围广泛的密码和认证算法。而在OpenSSL配置文件可以指定一个密码列表， 你可以通过在postgresql.conf中修改ssl_ciphers来指定数据库服务器使用的专用密码。
注意: 使用NULL-SHA或NULL-MD5可以得到身份验证但没有加密开销。不过，中间人能够读取和传递客户端和服务器之间的通信。此外，加密开销相比身份认证的开销是最小的。出于这些原因，我们建议不要使用 NULL 密码。
要SSL模式中启动服务器，包含服务器证书和私钥的文件必须存在。默认情况下，这些文件应该分别被命名为server.crt和server.key并且被放在服务器的数据目录中，但是可以通过配置参数ssl_cert_file和ssl_key_file指定其他名称和位置。
在 Unix 系统上，server.key上的权限必须不允许所有人或组的任何访问，通过命令chmod 0600 server.key可以做到。或者，该文件可以由 root 所拥有并且具有组读访问（也就是0640权限）。这种设置适用于由操作系统管理证书和密钥文件的安装。用于运行PostgreSQL服务器的用户应该被作为能够访问那些证书和密钥文件的组成员。
如果私钥被一个密码保护着，服务器将提示要求这个密码，并且在它被输入前不会启动。
在有些情况下，服务器证书可能由一个"中间" 证书颁发机构签名，而不是直接由客户端信任的证书颁发 机构直接签名。要使用这样的证书，请追加该签发权的证书到server.crt文件，然后追加其父签发权的证书，以此类推一直到一个被客户端所信任的"根"或"中间"颁发机构，即由一个位于客户端root.crt文件中的证书签发。
18.9.1. 使用客户端证书
要求客户端提供受信任的证书，把你信任的证书颁发机构（CA）的证书放置在数据目录的文件root.crt中。并且修改postgresql.conf中的参数ssl_ca_file为root.crt，还要把认证选项clientcert=1加入到pg_hba.conf文件中合适的hostssl行上。然后将在 SSL 连接启动时从客户端请求该证书（一段对于如何在客户端设置证书的描述请见第 32.18 节）。服务器将验证客户端的证书是由受信任的证书颁发机构之一签名。
如果中间CA出现在root.crt中，该文件必须也包含到它们的根CA的证书链。如果参数ssl_crl_file被设置，证书撤销列表（CRL）项也要被检查（显示 SSL 证书用法的图标见http://h71000.www7.hp.com/doc/83final/ba554_90007/ch04s02.html）。
clientcert认证选项适用于所有的认证方法，但仅适用于pg_hba.conf中用hostssl指定的行。 当clientcert没有指定或设置为 0时，如果配置了 CA 文件，服务器将仍然会根据它验证任何提交的客户端证书 — 但是它将不会坚持要求出示一个客户端证书。
请注意服务器的root.crt列出了顶级的 CA，它们对客户端证书的签名被认为是可信的。 原则上不需要列出签名服务器证书的 CA，然而在大多数情况下，这些 CA 对于客户端证书也是可信的。
如果你在设置客户端证书，你可能希望用cert认证方法，这样证书控制用户认证以及提供连接安全。详见第 20.3.9 节（在使用cert认证方法时，没有必要显式地指定clientcert=1）。
18.9.2. SSL 服务器文件用法
表 18-2总结了与服务器上 SSL 配置有关的文件（显示的文件名是默认的或者是经典名称。本地配置的名称可能会不同）。
表 18-2. SSL 服务器文件用法
| 文件 | 内容 | 效果 |
|---|---|---|
| ssl_cert_file ($PGDATA/server.crt) | 服务器证书 | 发送给客户端来说明服务器的身份 |
| ssl_key_file ($PGDATA/server.key) | 服务器私钥 | 证明服务器证书是其所有者发送的，并不说明证书所有者是值得信任的 |
| ssl_ca_file ($PGDATA/root.crt) | 可信的证书颁发机构 | 检查客户端证书是由一个可信的证书颁发机构签名的 |
| ssl_crl_file ($PGDATA/root.crl) | 被证书授权机构撤销的证书 | 客户端证书不能出现在这个列表上 |
文件server.key、server.crt、root.crt和root.crl（或者被配置的其他名字）只在服务器启动期间被检查，所以要使对它们的修改生效，你必须重启服务器。
18.9.3. 创建自签名的证书
要为服务器创建一个快速的自签名的证书，可以使用下面的OpenSSL命令：
openssl req -new -text -out server.req
填充那些openssl要求的信息。确保把本地主机名当做"Common Name"输入；挑战密码可以留空。 该程序将生成一个用口令保护的密钥，它不会接受小于四字符的口令。要移去密钥（如果你想自动启动服务器就必须这样），运行下面的命令：
openssl rsa -in privkey.pem -out server.key rm privkey.pem
输入旧口令解锁现有密钥。然后：
openssl req -x509 -in server.req -text -key server.key -out server.crt
将一个证书变成自签名的证书并复制密钥和证书到服务器将要查找它们的地方。最后执行：
chmod og-rwx server.key
如果文件的权限比这个更自由，服务器将拒绝该文件。要了解更多关于如何创建你的服务器私钥和证书的细节， 请参考OpenSSL文档。
自签名的证书可以被用于测试，但由证书颁发机构（CA）（要么是全局CA中的一个或者一个本地 CA）签名的证书应该被用在生产中，这样客户端可以验证服务器的身份。如果对于组织来说所有的客户端都是本地的，建议使用本地CA。