¿Tiene Discourse una contraseña de base de datos predeterminada aleatoria sólida?

Desarrollador
1

Estoy alojando mi foro de Discourse públicamente en https://2k2k.org y https://blleaks.org y planeo abrirlo también a usuarios del Reino Unido en relación con todas las reglas de privacidad del Reino Unido y quiero abrirlo para que puedan ser libres en el foro, sin embargo, dado que mi sitio también es un foro de “grey hat” dirigido a hackers, quiero preguntar si la contraseña predeterminada de la base de datos es segura, larga y aleatoria en comparación con todas las demás bases de datos de Discourse. No quiero que ocurra una fuga importante que afecte a todas las plataformas de Discourse, por lo que quería preguntar si el usuario de la base de datos para Discourse es realmente fuerte y, si no lo es, si podría recibir orientación sobre cómo asegurar mejor la plataforma. Incluyendo eso, mi sitio está detrás de Cloudflare y está proxificado, así que no sé si eso ayuda de alguna manera.

Saludos a todos.

2

El método de autenticación de la instalación predeterminada para postgres no utiliza una contraseña, utiliza la autenticación peer.

3 Me gusta
4

La configuración independiente de Docker se conecta a la base de datos a través de un socket Unix. Pero configura el servidor para que escuche en cualquier interfaz. Configura la conexión de red para usar scram-md5 (en lugar del más moderno scram-sha-256). El scram-md5 de PostgreSQL todavía se considera seguro, pero es mejor usar scram-sha-256, aunque eso supone un cambio disruptivo (ver artículo enlazado). Sin embargo, no se crean usuarios con credenciales.

Si expone el puerto de la base de datos en el contenedor y agrega usuarios con credenciales, debe asegurarse de no exponer el puerto de PostgreSQL a Internet y de usar contraseñas largas (generadas).