在分布式数据库安全防护体系中，账号口令是抵御暴力破解、越权访问、数据泄露的第一道防线。南大通用GBase 8c（gbase database）作为国产分布式关系型数据库，内置一套精细化、可自定义的密码安全策略体系，涵盖密码加密算法、复杂度校验、生命周期管控、登录锁定防护四大维度。整套策略通过专属系统参数精细化控制，可适配等保合规、生产安全、测试等不同运维场景，是数据库日常安全加固与合规测评的核心配置项。本文将对GBase 8cd的密码策略核心参数，逐一进行介绍。

加密算法参数 password_encryption_type 决定数据库用户密码的存储加密规则，是保障密码静态安全的基础参数，直接规避明文存储、弱加密破解风险。该参数支持 0、1、2、3 四种取值，对应不同加密等级。

取值为 0 时采用 MD5 加密，算法安全性低，仅适配老旧兼容场景，生产环境很少使用；
取值为 1 时采用 MD5+SHA256 混合加密，为系统默认配置，兼顾兼容性与基础安全性；
取值为 2 时仅采用 SHA256 高强度哈希加密，摒弃弱算法，是生产主流安全配置；
取值为 3 时采用国产 SM3 哈希加密算法，适配信创合规场景，安全性最高。该参数为全局静态参数，修改后仅对新建用户生效，存量用户密码加密方式不会变更。

密码复杂度管控是防止弱口令的核心机制，由多个参数协同控制。其中 password_policy 为总开关，0 代表关闭复杂度校验，1 代表开启强制校验，生产环境必须开启。帐户密码的复杂度要求如下：

包含大写字母（A-Z）的最少个数（password_min_uppercase）
包含小写字母（a-z）的最少个数（password_min_lowercase）
包含数字（0-9）的最少个数（password_min_digital）
包含特殊字符的最少个数（password_min_special）
密码的最小长度（password_min_length）
密码的最大长度（password_max_length）
至少包含上述四类字符中的三类
不能和用户名、用户名倒写相同，本要求为非大小写敏感
不能和当前密码、当前密码的倒写相同
不能是弱口令

ITPub博客

GBase 8c 数据库密码安全策略与运维实践（上）

最新文章