默认情况下,PostgreSQL将用户密码存储在MD5哈希中,为什么这不是安全漏洞?我正在研究PostgreSQL的内部机制,并已经到达系统目录pg_authid,当我阅读有关MD5哈希加密的内容时,它似乎被认为是过时的。我认为,如果管理员或用户能够访问底层文件存储,则他们可以理论上破解密码并执行所述凭据允许的任何操作。
我问为什么这不是安全漏洞,因为显然PostgreSQL已经通过了“公共标准认证”,根据其维基百科,这似乎是军用级别的安全性,并且注明其起源于西方国防组织。
谢谢!
我问为什么这不是安全漏洞,因为显然PostgreSQL已经通过了“公共标准认证”,根据其维基百科,这似乎是军用级别的安全性,并且注明其起源于西方国防组织。
谢谢!
src/backend/libpq/auth.c
。 - Craig Ringer
scram-sha-256
身份验证方法。 - Clodoaldo Neto