]> granicus.if.org Git - postgresql/commit
Fix confusing error caused by connection parameter channel_binding
authorMichael Paquier <michael@paquier.xyz>
Tue, 1 Oct 2019 01:56:27 +0000 (10:56 +0900)
committerMichael Paquier <michael@paquier.xyz>
Tue, 1 Oct 2019 01:56:27 +0000 (10:56 +0900)
commit41a6de41ed697df5d84f3144c6c60b4a9725381f
treeefee293fdc1061ec5f86d3cb1069f5eb48d270f4
parent5dd7fc1519461548eebf26c33eac6878ea3e8788
Fix confusing error caused by connection parameter channel_binding

When using a client compiled without channel binding support (linking to
OpenSSL 1.0.1 or older) to connect to a server which supports channel
binding (linking to OpenSSL 1.0.2 or newer), libpq would generate a
confusing error message with channel_binding=require for an SSL
connection, where the server sends back SCRAM-SHA-256-PLUS:
"channel binding is required, but server did not offer an authentication
method that supports channel binding."

This is confusing because the server did send a SASL mechanism able to
support channel binding, but libpq was not able to detect that
properly.

The situation can be summarized as followed for the case described in
the previous paragraph for the SASL mechanisms used with the various
modes of channel_binding:
1) Client supports channel binding.
1-1) channel_binding = disable => OK, with SCRAM-SHA-256.
1-2) channel_binding = prefer => OK, with SCRAM-SHA-256-PLUS.
1-3) channel_binding = require => OK, with SCRAM-SHA-256-PLUS.
2) Client does not support channel binding.
2-1) channel_binding = disable => OK, with SCRAM-SHA-256.
2-2) channel_binding = prefer => OK, with SCRAM-SHA-256.
2-3) channel_binding = require => failure with new error message,
instead of the confusing one.
This commit updates case 2-3 to generate a better error message.  Note
that the SSL TAP tests are not impacted as it is not possible to test
with mixed versions of OpenSSL for the backend and libpq.

Reported-by: Tom Lane
Author: Michael Paquier
Reviewed-by: Jeff Davis, Tom Lane
Discussion: https://postgr.es/m/24857.1569775891@sss.pgh.pa.us
src/interfaces/libpq/fe-auth.c