Forum IT Tranquillo

Salve,

con l'installazione predefinita di WAPT 2.5, non è prevista alcuna password per gli utenti postgres e wapt.
Per motivi di sicurezza, vorrei cambiare la password, ma la modifica non ha effetto.

Ecco la procedura che ho seguito:
connessione al database: `.\psql.exe -U postgres -d wapt`;
cambio password: `\password wapt` e `\password postgres`;
disconnessione e tentativo di accesso, ma la password non viene sempre richiesta.

Se la password è richiesta, secondo le mie ricerche, deve essere inserita nel file `C:\wapt\waptserver\waptserver.ini`. In questo caso, come potrei crittografare la password per prevenire fughe di dati o per motivi di sicurezza?

Ciao Tchoko,

Tchoko ha scritto: ↑7 aprile 2024 - 17:05 Con l'installazione predefinita di WAPT 2.5, non è prevista alcuna password per gli utenti postgres e wapt.
Per motivi di sicurezza, vorrei cambiare la password, ma la modifica non ha effetto.

versione, sistema operativo, ecc. (vedi regole del forum sopra)

Procedura seguita:
connessione al database: .\psql.exe -U postgres -d wapt
cambio password: \password wapt e \password postgres
disconnessione e tentativo di connessione, ma la password non viene sempre richiesta.

Si tratta di un'installazione standard di PostgreSQL; penso che dovresti dare un'occhiata al file pg_hba, ecc. Non è un problema di WAPT in sé.

Se la password fosse compromessa, secondo le mie ricerche, bisognerebbe inserirla nel file C:\wapt\waptserver\waptserver.ini. In tal caso, come si potrebbe crittografare la password per evitare fughe di dati o per motivi di sicurezza?.

Se è presente una password sul database PostgreSQL, questa deve essere inclusa nel file di configurazione. Se si desidera crittografare la password nel file di configurazione, sarà necessaria una password separata da qualche parte per decrittografare il file di configurazione all'avvio del servizio. E se si desidera che il servizio si avvii automaticamente all'avvio, la password di decrittografia sarà di per sé leggibile, quindi si sta semplicemente spostando il problema...

Il server WAPT deve essere installato su una macchina dedicata. Il server WAPT è configurato per l'ascolto solo in locale (su Linux, ascolta solo tramite socket Unix con `auth ident`). Pertanto, se si accede al database PostgreSQL, il server è già compromesso. Questo potrebbe essere utile per una sicurezza approfondita, ma in pratica è eccessivo nella stragrande maggioranza dei casi d'uso (a meno che non si voglia inserire una password ogni volta che si avvia il server, il disco sia crittografato, ecc.)

E la prima cosa da fare per avere un ambiente più facilmente sicuro è passare a un server Linux ...

Sinceramente,

Denis

Salve,
capisco che si tratti di un problema specifico del database, ma dato che è un pacchetto integrato nel software WAPT, ho pensato che potesse essere qualcosa con cui avete familiarità e che potreste aiutarmi.

In tal caso, potete chiudere la discussione.

Ciao Tchoko,

grazie per il feedback. Contrassegno la discussione come RISOLTA. A

mio parere, utilizzare una password per il database PostgreSQL ha senso solo se il database è ospitato su una macchina separata (un'eventualità piuttosto rara).

Cordiali saluti,

Denis