# 17.8\. 加密選項 PostgreSQL提供了幾個不同級別的加密， 并且在保護數據庫服務器不受數據竊賊、不道德管理員、不安全網絡等因素泄漏的方面提供很高的靈活性。 加密可能也是保護一些諸如醫療記錄和財務交易等敏感數據的要求。 口令存儲加密 缺省的時候，數據庫用戶的口令以 MD5 散列的方式存儲，所以管理員無法判斷賦予用戶的實際口令。 如果 MD5 加密用于客戶端認證，那么未加密的口令甚至都不可能臨時出現在服務器上， 因為客戶端在透過網絡發送之前，就先用 MD5 加密了。 為指定的字段加密 [pgcrypto](#calibre_link-391)模塊允許對某些字段進行加密存儲。這個功能在某些數據是敏感的情況下有用。 客戶端提供解密的密鑰，然后數據在服務器端解密，然后發送給客戶端。 在數據解密和數據在服務器與客戶端之間傳遞時，解密數據和解密密鑰將會在服務器端存在短暫的一段時間。 這就給那些可以完全訪問數據庫服務器的人提供了一個短暫的截獲密鑰和數據的時間， 這樣的人一般是數據庫管理員。 數據庫分區加密 在 Linux 上，加密可以在使用"回環設備"(loopback device)掛載的文件系統上面進行。 這樣就可以把磁盤上整個文件分區都加密，然后由操作系統解密。在 FreeBSD 上， 等效的設施叫 GEOM 基本磁盤加密(gbde)，并且許多其他操作系統支持這個功能，包括Windows。 這個機制避免了在整個計算機或者磁盤驅動器被竊的情況下，未加密的數據被從驅動器中讀取。 它無法防止在文件系統被掛載的時候的攻擊，因為在掛載之后，操作系統提供數據的解密視圖。 不過，要想掛載文件系統，你需要有一些方法把解密密鑰傳遞給操作系統， 有時候這個密鑰就存儲在掛載該磁盤的主機的某個地方。 跨網絡加密口令 `MD5`認證方法在客戶端將口令發給服務器之前雙重加密之。第一次 MD5 加密是基于用戶名的， 然后在連接數據庫的時候，用服務器發送的隨機鹽粒再次加密。 這個雙重加密的數值就是從網絡傳遞給服務器的數值。雙重加密不僅可以避免口令泄漏， 還可以避免稍后其它的連接使用同樣的加密口令連接數據庫(回放攻擊)。 透過網絡加密數據 SSL 連接加密所有透過網絡發送的數據：口令、查詢、返回的數據。`pg_hba.conf` 文件允許管理員聲明哪些主機可以使用不加密的連接(`host`)， 以及哪些主機需要使用 SSL 加密的連接(`hostssl`)。客戶也可以指定只通過SSL連接到服務器。 我們也可以使用Stunnel或SSH加密數據傳輸。 SSL 主機認證 客戶端和主機都可以提供 SSL 證書給對方。這么做需要在兩邊都進行一些額外的配置工作， 但是這種方式提供了比簡單使用用戶名和口令更強的身份認證的手段。 它避免一個計算機裝作是服務器，然后讀取客戶端口令， 只要時間長得足夠讀取客戶端發送的口令就行了。它還避免了"中間人" 攻擊(在客戶端和服務器之間有臺計算機，偽裝成為服務器并且讀取然后將所有數據在客戶端和服務器之間傳遞)。 客戶端加密 如果服務器機器的系統管理員是不可信的，那么客戶端加密數據也是必要的；這種情況下， 未加密的數據從來不會在數據庫服務器上出現。數據在發送給服務器之前加密， 而數據庫結果必須在客戶端使用之前解密。