PostgreSQL mit PgPool2: MD5 statt SCRAM für einfache Authentifizierung

PgPool2 und PostgreSQL nutzen standardmäßig das moderne SCRAM-SHA-256-Protokoll für die Authentifizierung. Doch in manchen Szenarien führt dies zu unnötiger Komplexität – etwa bei der Verwaltung von AES-Schlüsseln oder der Fehlerbehebung von Verbindungsproblemen. Eine bewährte Lösung ist daher der Wechsel zu MD5, der einfacher zu konfigurieren und zu warten ist.

Warum MD5 eine Alternative zu SCRAM sein kann

SCRAM-SHA-256 bietet zwar ein hohes Sicherheitsniveau, erfordert aber zusätzliche Schritte bei der Schlüsselverwaltung und Konfiguration. Besonders in Entwicklungs- oder Testumgebungen kann dies den Einrichtungsprozess verzögern. MD5 hingegen ist eine ältere, aber weit verbreitete Methode, die einfacher zu implementieren ist und keine komplexen Schlüsselverwaltungssysteme erfordert.

Ein weiterer Vorteil: MD5 ist in vielen PostgreSQL- und PgPool2-Versionen standardmäßig unterstützt. Der Wechsel kann daher eine schnelle Lösung für Authentifizierungsprobleme sein, ohne dass tiefgreifende Änderungen an der Infrastruktur vorgenommen werden müssen.

Schritt-für-Schritt-Anleitung: MD5 in PgPool2 aktivieren

Um MD5 für die Authentifizierung in PgPool2 zu nutzen, sind folgende Schritte erforderlich:

1. `pool_hba.conf` bearbeiten

Öffnen Sie die Konfigurationsdatei mit einem Texteditor:

   sudo nano /etc/pgpool2/pool_hba.conf

Suchen Sie die Zeile, die die Authentifizierungsmethode für lokale Verbindungen definiert, und ändern Sie sie von scram-sha-256 auf md5:

   host all all 127.0.0.1/32 md5

1. MD5-Passwort in `pool_passwd` eintragen

Mit dem Befehl pg_md5 können Sie ein Passwort im MD5-Format generieren und direkt in die Passwortdatei eintragen:

   pg_md5 -m -u postgres StrongPassword123

Dieser Befehl erstellt einen MD5-Hash des Passworts StrongPassword123 für den Benutzer postgres und speichert ihn in /etc/pgpool2/pool_passwd.

1. Überprüfen der Passwortdatei

Stellen Sie sicher, dass die Datei korrekt aktualisiert wurde:

   sudo cat /etc/pgpool2/pool_passwd

Die Ausgabe sollte etwa so aussehen:

   postgres:md5xxxxxxxxxxxxxxxxxxxxxxxx

1. PgPool2 neu starten

Damit die Änderungen wirksam werden, starten Sie den Dienst neu:

   sudo systemctl restart pgpool2

1. Verbindung testen

Prüfen Sie abschließend, ob die Verbindung mit dem neuen Authentifizierungsmodus funktioniert:

   psql -h 127.0.0.1 -p 9999 -U postgres -d your_db

PostgreSQL selbst auf MD5 umstellen

Falls auch PostgreSQL selbst MD5 statt SCRAM verwenden soll, sind zusätzliche Schritte notwendig. Dies ist besonders dann sinnvoll, wenn PgPool2 und PostgreSQL konsistent konfiguriert sein müssen.

1. `pg_hba.conf` anpassen

Suchen Sie die Datei pg_hba.conf im PostgreSQL-Konfigurationsverzeichnis (Pfad variiert je nach Distribution):

   sudo nano /etc/postgresql/*/main/pg_hba.conf

Ändern Sie die Authentifizierungsmethode für lokale Verbindungen von scram-sha-256 auf md5:

   host all all 127.0.0.1/32 md5

1. Standard-Authentifizierungsmethode in `postgresql.conf` anpassen

Öffnen Sie die Konfigurationsdatei:

   sudo nano /etc/postgresql/*/main/postgresql.conf

Suchen Sie die Zeile password_encryption und ändern Sie den Wert von scram-sha-256 auf md5:

   password_encryption = md5

1. PostgreSQL-Passwort zurücksetzen

Damit das Passwort im neuen Format gespeichert wird, setzen Sie es mit folgendem Befehl zurück:

   sudo -u postgres psql -c "ALTER USER postgres WITH PASSWORD 'StrongPassword123'"

1. PostgreSQL neu starten

Damit die Änderungen übernommen werden, starten Sie den Dienst neu:

   sudo systemctl restart postgresql

1. `pool_passwd` für PgPool2 neu erstellen

Da sich das Passwortformat geändert hat, müssen Sie die pool_passwd-Datei von PgPool2 aktualisieren:

   pg_md5 -m -u postgres StrongPassword123

Anschließend starten Sie PgPool2 neu:

   sudo systemctl restart pgpool2

1. Verbindung testen

Überprüfen Sie abschließend die Verbindung:

   psql -h 127.0.0.1 -p 9999 -U postgres -d your_db

Häufige Fallstricke und deren Lösung

Ein häufiges Problem ist, dass die Passwort-Hashes in PostgreSQL oder PgPool2 nicht korrekt aktualisiert werden. Dies kann dazu führen, dass die Authentifizierung weiterhin fehlschlägt.

• Prüfen Sie das Passwort-Hash in PostgreSQL:

Führen Sie folgenden Befehl aus, um zu überprüfen, ob das Passwort tatsächlich als MD5 gespeichert ist:

  SELECT usename, passwd FROM pg_shadow WHERE usename='postgres';

Die Ausgabe sollte mit md5 beginnen, nicht mit SCRAM-SHA-256. Falls dies nicht der Fall ist, setzen Sie das Passwort erneut zurück:

  SET password_encryption = 'md5';
  ALTER USER postgres WITH PASSWORD 'StrongPassword123';

• `pool_passwd` zurücksetzen:

Falls die Datei pool_passwd alte oder fehlerhafte Einträge enthält, können Sie sie zurücksetzen:

  sudo truncate -s 0 /etc/pgpool2/pool_passwd
  pg_md5 -m -u postgres StrongPassword123

Fazit: Einfacher Wechsel für mehr Stabilität

Der Wechsel von SCRAM-SHA-256 zu MD5 in PostgreSQL und PgPool2 kann die Authentifizierung deutlich vereinfachen – besonders in Umgebungen, in denen Komplexität vermieden werden soll. Während SCRAM bessere Sicherheit bietet, ist MD5 eine praktikable Alternative für Szenarien, in denen Benutzerfreundlichkeit und schnelle Fehlerbehebung Priorität haben.

Bevor Sie diese Änderung in einer Produktionsumgebung vornehmen, sollten Sie jedoch die Auswirkungen auf die Sicherheit sorgfältig abwägen. In Zukunft könnte eine Rückkehr zu SCRAM sinnvoll sein, sobald die Konfiguration stabil läuft und die Anforderungen an die Sicherheit steigen.