F.24. pgcrypto

F.24.1.1. digest()

digest(data text, type text) 返回 bytea
digest(data bytea, type text) 返回 bytea

计算一个给定data的一个二进制哈希值。type是要使用的算法。标准算法是md5、sha1、sha224、sha256、sha384和sha512。如果使用 OpenSSL 编译了pgcrypto，如表 F-18中所述，有更多算法可用。

如果你想摘要成为一个十六进制字符串，可以在结果上使用encode()。例如：

CREATE OR REPLACE FUNCTION sha1(bytea) returns text AS $$
    SELECT encode(digest($1, 'sha1'), 'hex')
$$ LANGUAGE SQL STRICT IMMUTABLE;

F.24.1.2. hmac()

hmac(data text, key text, type text) 返回 bytea
hmac(data bytea, key text, type text) 返回 bytea

为带有密钥key的data计算哈希过的 MAC。type与digest()中相同。

这与digest()相似，但是该哈希只能在知晓密钥的情况下被重新计算出来。这阻止了某人修改数据且还想更改哈希以匹配之的企图。

如果该密钥大于哈希块的尺寸，它将先被哈希然后把结果用作密钥。

F.24.2.1. crypt()

crypt(password text, salt text) 返回 text

计算password的一个 crypt(3) 风格的哈希。在存储一个新口令时，你需要使用gen_salt()产生一个新的salt值。要检查一个口令，把存储的哈希值作为salt，并且测试结果是否匹配存储的值。

设置一个新口令的例子：

UPDATE ... SET pswhash = crypt('new password', gen_salt('md5'));

认证的例子：

SELECT (pswhash = crypt('entered password', pswhash)) AS pswmatch FROM ... ;

如果输入的口令正确，这会返回true。

F.24.2.2. gen_salt()

gen_salt(type text [, iter_count integer ]) 返回 text

产生一个在crypt()中使用的新随机 salt 字符串。该 salt 字符串也告诉了crypt()要使用哪种算法。

type参数指定哈希算法。可接受的类型是：des、xdes、md5以及bf。

iter_count参数让用户可以为使用迭代计数的算法指定迭代计数。计数越高，哈希口令花的时间更长并且因而需要更多时间去攻破它。不过使用太高的计数会导致计算一个哈希的时间高达数年 — 这并不使用。如果iter_count参数被忽略，将使用默认的迭代计数。允许的iter_count值与算法相关，如表 F-16所示。

对xdes算法还有额外的限制：迭代计数必须是一个奇数。

要选取一个合适的迭代计数，考虑最初的 DES 加密被设计成在当时的硬件上每秒钟完成 4 次哈希。低于每秒 4 次哈希的速度很可能会损害可用性。而超过每秒 100 次哈希又可能太快了。

表 F-17给出了不同哈希算法的相对慢度的综述。该表展示了在假设口令只含有小写字母或者大小写字母及数字的情况下，在一个 8 字符口令中尝试所有字符组合所需要的时间。在crypt-bf项中，在一个斜线之后的数字是gen_salt的iter_count参数

注意：

• 使用的机器是一台 Intel Mobile Core i3。

• crypt-des和crypt-md5算法的数字是取自 John the Ripper v1.6.38 -test输出。

• md5 hash的数字来自于 mdcrack 1.2。

• sha1的数字来自于 lcrack-20031130-beta.

• crypt-bf的数字是采用一个在 1000 个 8 字符口令上循环的简单程序采集到的。用那种方法我能展示不同迭代次数的速度。供参考：john-test对于crypt-bf/5显示 213 次循环/秒（结果中的微小差异符合pgcrypto中的crypt-bf实现与 John the Ripper 中的一致这一情况）。

注意"尝试所有组合"并非是现实中会采用的方式。通常口令破解都是在词典的帮助下完成的，词典中会包含常用词以及它们的多种变化。因此，甚至有些像词的口令被破解的时间可能会大大小于上面建议的数字，而一个 6 字符的不像词的口令可能会逃过破解，也可能不能逃脱。

F.24.3.1. pgp_sym_encrypt()

pgp_sym_encrypt(data text, psw text [, options text ]) 返回 bytea
pgp_sym_encrypt_bytea(data bytea, psw text [, options text ]) 返回 bytea

使用一个对称 PGP 密钥 psw加密data。options参数可以包含下文所述的选项设置。

F.24.3.2. pgp_sym_decrypt()

pgp_sym_decrypt(msg bytea, psw text [, options text ]) 返回 text
pgp_sym_decrypt_bytea(msg bytea, psw text [, options text ]) 返回 bytea

解密一个用对称密钥加密过的 PGP 消息。

不允许使用pgp_sym_decrypt解密bytea数据。这是为了避免输出非法的字符数据。使用pgp_sym_decrypt_bytea解密原始文本数据是好的。

options参数可以包含下文所述的选项设置。

F.24.3.3. pgp_pub_encrypt()

pgp_pub_encrypt(data text, key bytea [, options text ]) 返回 bytea
pgp_pub_encrypt_bytea(data bytea, key bytea [, options text ]) 返回 bytea

用一个公共 PGP 密钥 key加密data。给这个函数一个私钥会产生一个错误。

options参数可以包含下文所述的选项设置。

F.24.3.4. pgp_pub_decrypt()

pgp_pub_decrypt(msg bytea, key bytea [, psw text [, options text ]]) 返回 text
pgp_pub_decrypt_bytea(msg bytea, key bytea [, psw text [, options text ]]) 返回 bytea

解密一个公共密钥加密的消息。key必须是对应于用来加密的公钥的私钥。如果私钥是用口令保护的，你必须在psw中给出该口令。如果没有口令，但你想要指定选项，你需要给出一个空口令。

不允许使用pgp_pub_decrypt解密bytea数据。这是为了避免输出非法的字符数据。使用pgp_pub_decrypt_bytea解密原始文本数据是好的。

options参数可以包含下文所述的选项设置。

F.24.3.5. pgp_key_id()

pgp_key_id(bytea) 返回 text

pgp_key_id抽取一个 PGP 公钥或私钥的密钥 ID。或者如果给定了一个加密过的消息，它给出一个用来加密数据的密钥 ID。

它能够返回 2 个特殊密钥 ID：

• SYMKEY

  该消息是用一个对称密钥加密的。

• ANYKEY

  该消息是用公钥加密的，但是密钥 ID 已经被移除。这意味着你将需要尝试你所有的密钥来看看哪个能解密该消息。pgcrypto本身不产生这样的消息。

注意不同的密钥可能具有相同的 ID。这很少见但是是一种正常事件。客户端应用则应该尝试用每一个去解密，看看哪个合适 — 像处理ANYKEY一样。

F.24.3.6. armor(), dearmor()

armor(data bytea [ , keys text[], values text[] ]) returns text
dearmor(data text) returns bytea

这些函数把二进制数据包装/解包成 PGP ASCII-保护格式，其基本上是带有 CRC 和额外格式化的 Base64。

如果指定了keys和values数组， 则对每个键/值对的装甲格式添加装甲标题。 这两个数组必须是一维的，并且它们必须具有相同的长度。 键和值不能包含任何非ASCII字符。

F.24.3.7. pgp_armor_headers

pgp_armor_headers(data text, key out text, value out text) returns setof record

pgp_armor_headers()从data中提取装甲标题。 返回值是一组具有两列（即键和值）的行。 如果键或值包含任何非ASCII字符，则将它们视为UTF-8。

F.24.3.8. PGP 函数的选项

选项被命名为与 GnuPG 类似的形式。一个选项的值应该在一个等号后给出，各个选项之间用逗号分隔。例如：

pgp_sym_encrypt(data, psw, 'compress-algo=1, cipher-algo=aes256')

除了convert-crlf之外所有这些选项只适用于加密函数。解密函数会从 PGP 数据中得到这些参数。

最有趣的选项可能是compress-algo和unicode-mode。其余的应该可以使用合理的默认值。

F.24.3.9. 用 GnuPG 生成 PGP 密钥

要生成一个新密钥：

gpg --gen-key

更好的密钥类型是"DSA 和 Elgamal"。

对于 RSA 密钥，你必须创建仅用于签名的 DSA 或 RSA 密钥作为主控密钥，然后用gpg --edit-key增加一个 RSA 加密子密钥。

要列举密钥：

gpg --list-secret-keys

要以 ASCII-保护格式导出一个公钥：

gpg -a --export KEYID > public.key

要以 ASCII-保护格式导出一个私钥：

gpg -a --export-secret-keys KEYID > secret.key

在把这些密钥交给 PGP 函数之前，你需要对它们使用dearmor()。或者如果你能处理二进制数据，你可以从命令中去掉-a。

更多细节请参考man gpg、 The GNU Privacy Handbook以及 http://www.gnupg.org上的其他文档。

F.24.3.10. PGP 代码的限制

• 不支持签名。这也意味着它不检查加密子密钥是否属于主控密钥。

• 不支持加密密钥作为主控密钥。由于通常并不鼓励那种用法，这应该不是问题。

• 不支持多个子密钥。这可能看起来像一个问题，因为在实践中普遍需要多个子密钥。在另一方面，你不能把你的常规 GPG/PGP 密钥用于pgcrypto，而是创建一些新的密钥，因为使用场景相当不同。

F.24.6.1. 配置

pgcrypto会根据查找主 PostgreSQL configure脚本配置它自身。影响它的选项是--with-zlib以及--with-openssl。

在编译了 zlib 时，PGP 加密函数能够在加密前压缩数据。

在编译了 OpenSSL 时，会有更多可用算法。公钥加密函数也会更快，因为 OpenSSL 有优化得更好的 BIGNUM 函数。

注意：

1. SHA2 算法是在版本 0.9.8 时被加入到 OpenSSL 的。对于旧版本，pgcrypto将使用内建的代码。

2. OpenSSL 支持的任何摘要算法都是自动选取的。这对于使用密码来说是不可能的，因为需要被显式地支持。

3. AES 从版本 0.9.7 就开始被包括在 OpenSSL 中。对于旧版本，pgcrypto将使用内建的代码。

F.24.6.2. NULL 处理

按照 SQL 中的标准，只要任何参数是 NULL， 所有的函数都会返回 NULL。在不当使用时这可能会导致安全风险。

F.24.6.3. 安全性限制

所有pgcrypto函数都在数据库服务器内部运行。这意味着在pgcrypto和客户端应用之间移动的所有数据和口令都是明文。因此，你必须：

1. 本地连接或者使用 SSL 连接。

2. 信任系统管理员和数据库管理员。

如果你不能这样做，那么最好在客户端应用中进行加密。

该实现无法抵抗 侧信道攻击。例如，一个pgcrypto解密函 数完成所需的时间是随着密文尺寸变化的。

F.24.6.4. 有益的读物

• http://www.gnupg.org/gph/en/manual.html

  The GNU Privacy Handbook.

• http://www.openwall.com/crypt/

  描述 crypt-blowfish 算法。

• http://www.stack.nl/~galactus/remailers/passphrase-faq.html

  如何选取一个好的口令。

• http://world.std.com/~reinhold/diceware.html

  选择口令的有趣的想法。

• http://www.interhack.net/people/cmcurtin/snake-oil-faq.html

  描述好的和不好的加密。

F.24.6.5. 技术性参考

• http://www.ietf.org/rfc/rfc4880.txt

  OpenPGP 消息格式。

• http://www.ietf.org/rfc/rfc1321.txt

  MD5 消息摘要算法。

• http://www.ietf.org/rfc/rfc2104.txt

  HMAC：用于消息认证的钥控哈希。

• http://www.usenix.org/events/usenix99/provos.html

  crypt-des、crypt-md5 以及 bcrypt 算法的比较。

• http://en.wikipedia.org/wiki/Fortuna_(PRNG)

  Fortuna CSPRNG 的描述。

• http://jlcooke.ca/random/

  Linux 的 Jean-Luc Cooke Fortuna-based /dev/random驱动。

• http://research.cyber.ee/~lipmaa/crypto/

  密码学线索的集合。