#postgresql #passwords
#postgresql #пароли
Вопрос:
Я создаю генератор паролей для пользователей Postgresql. Я ничего не могу найти в официальных документах, касающихся правил качества пароля.
Многочисленные статьи и вопросы касаются passwordcheck
модуля
Но по умолчанию он не включен, почему?
И есть ли правило по умолчанию для надежности пароля в Postgre?
Комментарии:
1. В ядре Postgresql нет проверки надежности пароля.
passwordcheck
это модуль / расширение contrib, оно не загружается по умолчанию. Предполагая, что у вас установлены / выполнены модули -contrib, вы можете загрузить его.
Ответ №1:
Включить passwordcheck
модуль легко.
Основная причина, по которой он не включен по умолчанию, заключается в его ограниченной полезности: он эффективен только для паролей, отправляемых на сервер в виде открытого текста, что с самого начала является плохой практикой безопасности. Если вы используете более безопасный метод, такой как psql
‘s password
, сервер никогда не увидит пароль с открытым текстом и, следовательно, не сможет его проверить.
Глубокая причина, по которой нет более продвинутых проверок паролей, заключается в том, что сообщество PostgreSQL считает пароли в базе данных второсортной безопасностью. Для серьезных требований безопасности используйте централизованное управление идентификацией и аутентификацию с помощью Kerberos или одного из других методов аутентификации. Затем проверьте надежность вашего пароля в системе управления идентификацией, которая специализируется в этой области.
Комментарии:
1. Не вижу здесь методов аутентификации по мнению сообщества.
2. Это не открытое официальное мнение, и я уверен, что люди не согласятся, но кое-что из этого выяснилось во время написания passwordcheck. Вы могли бы прочитать тему о хакерах.