PostgreSQL 用户密码从 MD5 更改为 scram-sha-265

Question

我正在考虑将PostgreSQL密码加密从MD5更改为SHA的问题，以找出如何将Postgres中的用户密码哈希更改为MD5以外的内容，因为据我所知，它现在基本上已经过时了。

但我很好奇服务器的< code>pg_hpa.conf文件是否需要更改，因为根据本教程https://blog . big binary . com/2016/01/23/configure-PostgreSQL-to-allow-remote-connection . html，您需要向其中添加以下内容:

host    all             all              0.0.0.0/0                       md5
host    all             all              ::/0                            md5

“md5”需要更改吗？还是纯粹是在那里指定一个密码是必须的，并且在把哈希函数改成scram-sha-256的时候不会受到影响？

Answer 1

即使您将password_encryption更改为scram-sha-256，您也可以保留md5作为pg_hba.conf中的身份验证方法。这样做很不寻常。

它不寻常的主要原因是，对于password_encryption = scram-sha-256，客户端无论如何都必须了解新的哈希方法，以便能够根据用户输入的密码计算出哈希密码。那么为什么不使用它进行更安全的身份验证呢？

为了避免混淆，我想补充一点，PostgreSQL中有两种不同的密码散列操作：

> < li>

对用户输入的密码(和用户名一起)进行哈希运算，以生成实际的PostgreSQL密码，该密码存储在< code>pg_authid中。这是为了避免有人窃取密码并在其他系统上重复使用的问题。

在身份验证过程中，服务器要求客户端使用特定的salt生成一个密码哈希(已经在上一步中进行了哈希处理)。这个“双重散列”的密码然后通过线路发送。

换句话说，你的问题是:我们可以对第一点使用< code>scram-sha-256而对第二点使用< code>md5吗？