MK
摩柯社区 - 一个极简的技术知识社区
AI 面试

PostgreSQL逻辑复制安全性分析与加固策略

2022-05-177.7k 阅读

逻辑复制基础概念

逻辑复制概述

PostgreSQL 的逻辑复制是基于发布 - 订阅模型实现的。在这种模型中，一个数据库实例作为发布者（Publisher），它将数据更改以逻辑日志的形式发布出去；而其他数据库实例作为订阅者（Subscriber），订阅这些发布的更改并应用到自身数据库中。逻辑复制与物理复制不同，物理复制是基于底层物理日志（如 WAL，Write - Ahead Log）进行数据块级别的复制，逻辑复制则是在更高层次上，基于数据库对象（如表、行等）的更改进行复制。

例如，当在发布者数据库的一张表中插入一条新记录时，逻辑复制会捕获这个插入操作的逻辑信息（如插入的列值等），并将其发送给订阅者，订阅者再根据这些逻辑信息在本地执行对应的插入操作。

逻辑复制的工作流程

  1. 发布者端：首先，发布者需要定义一个发布（Publication），指定要发布的数据库对象，通常是表。例如，要发布名为 employees 的表，可以使用以下 SQL 语句：
CREATE PUBLICATION employees_publication FOR TABLE employees;

当对 employees 表进行数据操作（如插入、更新、删除）时，PostgreSQL 会将这些操作记录到逻辑复制日志中。这些日志记录包含了操作的类型、表名以及具体的数据更改。

  1. 订阅者端：订阅者需要创建一个订阅（Subscription）来连接到发布者并接收数据。假设发布者的连接信息为 host=192.168.1.100 port=5432 dbname=pub_db user=replication_user，订阅者可以使用以下语句创建订阅：
CREATE SUBSCRIPTION employees_subscription
    CONNECTION 'host=192.168.1.100 port=5432 dbname=pub_db user=replication_user'
    PUBLICATION employees_publication;

订阅者通过这个订阅连接到发布者，获取逻辑复制日志，并按照日志中的记录在本地数据库中执行相应的数据操作，从而保持与发布者数据的一致性。

逻辑复制安全性分析

身份认证与授权风险

  1. 发布者 - 订阅者认证：在逻辑复制中，订阅者需要连接到发布者数据库。如果使用默认的身份认证方式（如 trust 认证，这种认证方式在 pg_hba.conf 文件中配置，允许指定网段内的所有连接无需密码认证），任何能够访问发布者数据库所在网络的恶意用户都可以尝试建立订阅连接，获取敏感数据。例如，如果 pg_hba.conf 中有如下配置：
host    all         all         192.168.1.0/24         trust

那么 192.168.1.0/24 网段内的任何用户都可以无密码连接到发布者数据库，若恶意用户创建订阅，就可能获取到发布者发布的数据。

  1. 数据库用户权限：发布者数据库中用于逻辑复制的用户权限设置不当也会带来风险。如果该用户具有过高的权限，比如具有 superuser 权限，一旦该用户的认证信息泄露，恶意用户就可以利用这个用户在发布者数据库上执行任意操作，不仅可以获取复制数据，还可能对数据库进行破坏。例如，若逻辑复制用户具有 superuser 权限，恶意用户可以执行 DROP DATABASE 等危险操作。

数据传输安全

  1. 数据明文传输：默认情况下，PostgreSQL 的逻辑复制数据在网络传输过程中是明文的。这意味着在数据传输路径上，如果存在中间人攻击，攻击者可以截获并读取传输中的数据。例如，在一个不安全的网络环境中，攻击者可以使用网络嗅探工具捕获逻辑复制的数据包，从中获取表结构、数据内容等敏感信息。假设发布者正在将包含用户密码（虽然存储时通常应该是加密的，但如果表中存在其他敏感信息）的 users 表进行逻辑复制传输，攻击者就可能获取到这些敏感信息。

  2. 数据完整性：在数据传输过程中，由于网络故障、延迟等原因，可能会导致数据丢失或损坏。如果没有合适的机制来保证数据完整性，订阅者接收到的数据可能与发布者发布的数据不一致。例如，在逻辑复制日志传输过程中，部分日志记录丢失，订阅者在应用这些不完整的日志时，就会出现数据不一致的情况，影响业务正常运行。

发布与订阅管理风险

  1. 未授权的发布：如果没有严格的访问控制，任何用户都可能在发布者数据库上创建发布，将敏感数据暴露给潜在的订阅者。例如，一个普通用户在未经授权的情况下创建了一个包含公司财务数据的表的发布，而恰好有恶意订阅者订阅了这个发布，就会导致财务数据泄露。

  2. 订阅者恶意操作：订阅者可能会对从发布者获取的数据进行恶意操作。虽然逻辑复制主要是单向的（从发布者到订阅者），但订阅者在本地数据库中对复制数据的不当使用或修改可能会影响数据的真实性和可用性。比如，订阅者修改了复制过来的订单数据，导致业务统计出现错误。

逻辑复制安全性加固策略

强化身份认证与授权

  1. 改进认证方式：
    • 使用密码认证：在 pg_hba.conf 文件中，将认证方式从 trust 改为 md5 或 scram - sha - 256。以 md5 为例，配置如下：
host    all         all         192.168.1.0/24         md5

这样，订阅者连接发布者数据库时需要提供正确的用户名和密码，增加了认证的安全性。

  • 使用 SSL 认证：通过配置 PostgreSQL 启用 SSL 连接，进一步增强认证安全性。首先生成 SSL 证书和密钥，例如使用 OpenSSL 工具：
openssl req -new -x509 -days 365 -nodes -text -out server.crt -keyout server.key

然后在 postgresql.conf 文件中配置启用 SSL：

ssl = on
ssl_cert_file ='server.crt'
ssl_key_file ='server.key'

在 pg_hba.conf 文件中配置只允许 SSL 连接：

hostssl all         all         0.0.0.0/0         md5

这样，订阅者连接发布者时必须通过 SSL 加密通道，并且提供正确的密码，大大提高了认证的安全性。

  1. 合理设置用户权限：
    • 创建专用复制用户：在发布者数据库中，创建一个专门用于逻辑复制的用户，只赋予其必要的权限。例如，创建一个名为 replication_user 的用户，并赋予其创建发布、复制数据的权限，但不赋予 superuser 权限：
CREATE USER replication_user WITH PASSWORD 'password';
GRANT CREATE ON DATABASE pub_db TO replication_user;
GRANT USAGE ON SCHEMA public TO replication_user;
GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA public TO replication_user;
GRANT CREATE PUBLICATION ON DATABASE pub_db TO replication_user;

这样，即使该用户的认证信息泄露，恶意用户也无法执行超出逻辑复制所需的危险操作。

保障数据传输安全

  1. 加密数据传输：

    • 启用 SSL 加密：如前文所述，通过配置 PostgreSQL 启用 SSL 连接，不仅可以增强身份认证安全性，还可以对逻辑复制数据在网络传输过程中进行加密。当订阅者连接发布者时，数据通过 SSL 加密通道传输，防止中间人攻击截获明文数据。

    • 使用 VPN：在发布者和订阅者之间建立虚拟专用网络（VPN）。VPN 可以在不安全的公共网络上创建一个加密的专用网络通道，进一步保护逻辑复制数据的传输安全。例如，可以使用 OpenVPN 搭建 VPN 服务器，发布者和订阅者通过 VPN 连接，这样逻辑复制数据在 VPN 通道内传输，有效防止数据被窃听和篡改。

  2. 确保数据完整性：

    • 使用校验和：PostgreSQL 逻辑复制本身没有内置的通用校验和机制，但可以通过一些扩展或自定义脚本来实现。例如，可以在发布者端对逻辑复制日志记录计算哈希值（如 MD5 或 SHA - 256），并将哈希值与日志记录一起发送给订阅者。订阅者在接收到日志记录后，重新计算哈希值并与接收到的哈希值进行比较，若不一致则说明数据可能在传输过程中被篡改或损坏。以下是一个简单的 Python 示例，用于计算文件（模拟逻辑复制日志文件）的 MD5 哈希值：
import hashlib

def calculate_md5(file_path):
    hash_md5 = hashlib.md5()
    with open(file_path, "rb") as f:
        for chunk in iter(lambda: f.read(4096), b""):
            hash_md5.update(chunk)
    return hash_md5.hexdigest()
  • 基于日志序列号：PostgreSQL 的逻辑复制日志有日志序列号（LSN，Log Sequence Number）。发布者和订阅者可以通过比较 LSN 来确保数据的连续性和完整性。订阅者在接收和应用逻辑复制日志时，检查 LSN 的连续性。如果发现 LSN 不连续，说明可能存在数据丢失或损坏，订阅者可以请求发布者重新发送丢失的日志记录。

严格发布与订阅管理

  1. 限制发布权限：
    • 基于角色的访问控制：在发布者数据库中，通过角色来管理发布权限。例如，创建一个名为 publisher_role 的角色，只有属于这个角色的用户才能创建发布。首先创建角色：
CREATE ROLE publisher_role;

然后将创建发布的权限赋予这个角色：

GRANT CREATE PUBLICATION ON DATABASE pub_db TO publisher_role;

接着将需要创建发布的用户加入到这个角色：

GRANT publisher_role TO authorized_user;

这样，只有 authorized_user （属于 publisher_role 角色）才能在发布者数据库上创建发布，防止未授权用户随意创建发布泄露敏感数据。

  1. 监控订阅者操作：
    • 使用审计日志：在订阅者数据库中启用审计日志，记录对复制数据的所有操作。在 postgresql.conf 文件中配置审计日志相关参数：
log_statement = 'all'
log_directory = 'pg_log'
log_filename = 'postgresql-%Y-%m-%d_%H%M%S.log'

这样，所有对数据库的操作（包括对复制数据的操作）都会被记录到日志文件中，管理员可以通过查看审计日志，及时发现订阅者的恶意操作，如对复制数据的不当修改等。

  • 数据版本控制：可以在订阅者数据库中引入数据版本控制机制，例如使用触发器记录数据的版本信息。当复制数据发生变化时，触发器更新版本号。这样，管理员可以通过版本号追溯数据的更改历史，及时发现异常的版本变化，判断是否存在恶意操作。以下是一个简单的 PostgreSQL 触发器示例，用于记录表 employees 的数据版本：
CREATE SEQUENCE employees_version_seq;

CREATE TABLE employees_versions (
    id SERIAL PRIMARY KEY,
    version INT,
    change_time TIMESTAMP,
    change_user TEXT,
    old_data JSONB,
    new_data JSONB
);

CREATE OR REPLACE FUNCTION log_employees_version() RETURNS TRIGGER AS $$
BEGIN
    INSERT INTO employees_versions (version, change_time, change_user, old_data, new_data)
    VALUES (nextval('employees_version_seq'), now(), current_user, to_jsonb(OLD), to_jsonb(NEW));
    RETURN NEW;
END;
$$ LANGUAGE plpgsql;

CREATE TRIGGER employees_version_trigger
BEFORE INSERT OR UPDATE OR DELETE ON employees
FOR EACH ROW EXECUTE FUNCTION log_employees_version();

通过以上全面的安全性分析与加固策略，可以有效提升 PostgreSQL 逻辑复制的安全性，确保数据在复制过程中的保密性、完整性和可用性。