Chiffrement de base de données avec postgresql

HEU, IL FAUT CHIFFRER LES
DONNÉES DE LA BASE !
ON FAIT COMMENT ?

CONTEXTE
Application web existante
Opération ponctuelle
Infrastructure existante

POURQUOI CHIFFRER ?
Protéger des données sensibles

QUE DOIT-ON CHIFFRER ?
Tout ou partie ?

QUEL CHIFFREMENT UTILISER ?
Symétrique ou Asymétrique ?

SYMÉTRIQUE
Une seule clé pour chiffrer et déchiffrer

ASYMÉTRIQUE
Une paire de clé, publique/privée

CHIFFREMENT DES DISQUES
Simple de mise en œuvre
Protège contre les vols physiques
Conservation des fonctionnalités
de la BDD
Backup non chiffré
Si compromission de la machine,
les données sont en clair
À faire lors de l'installation de la
machine

CHIFFREMENT DE L'INSTANCE DE LA
BASE DE DONNÉES
Transparent Data Encryption
Protège contre l'exfiltration des
fichiers
Conservation des fonctionnalités
de la BDD
Backup fichier chiffré
Backup non chiffré via pg_dump
Si compromission de la BDD, les
données sont en clair
Nécessite une installation

CHIFFREMENT DES COLONNES DE LA
BASE DE DONNÉES
Aucune installation
supplémentaire
Backup chiffré
Perte de fonctionnalité de la BDD
(recherche, unicité, index, ...)

CHIFFREMENT DE LA DONNÉE PAR
L'APPLICATION
La BDD reçoit des données
chiffrées
Backup chiffré

CHIFFREMENT DE LA DONNÉE PAR LE
NAVIGATEUR
L'application et la BDD reçoivent
des données chiffrées
Backup chiffré
Pas de contrôle de données
Mauvaises expériences

PGCRYPTO
https://www.postgresql.org/docs/current/pgcrypto.htm
CREATE EXTENSION pgcrypto;

CHIFFREMENT
SELECT pgp_sym_encrypt(
'My value',
'secretKey'
);
-- xc30d04090302b...ea06ca101f8ece6f

DÉCHIFFREMENT
SELECT pgp_sym_decrypt(
'xc30d04090302b...ea06ca101f8ece6f',
'secretKey'
);
-- My value

ET MAINTENANT ?
Chiffrement dans la base de données
Création de vue des données déchiffrées
Création des tables chiffrées
Ajout de trigger de mise à jour sur la vue

CRÉATION DES TABLES CHIFFRÉES
CREATE TABLE private.candidate_form (
id integer NOT NULL GENERATED BY DEFAULT AS IDENTITY
PRIMARY KEY,
first_name bytea,
last_name bytea,
pee_identifier bytea,
email bytea,
-- ...
);

CRÉATION DES VUES DÉCHIFFRÉES
Comment passer la clé secrète à la vue ?

LA CLÉ
SET application.key='mySecret';
-- ...
SELECT current_setting('application.key');
1
2
3
1
-- ...
2
SELECT current_setting('application.key');
3 SELECT current_setting('application.key');
1
-- ...
2
3

CRÉATION DES VUES DÉCHIFFRÉES
CREATE VIEW candidate_form AS
SELECT id,
pgp_sym_decrypt(
first_name,
current_setting('application.key')
) AS first_name,
-- ...
FROM private.candidate_form;
1
2
3
4
5
6
7
8
pgp_sym_decrypt(
first_name,
) AS first_name,
CREATE VIEW candidate_form AS
1
SELECT id,
2
3
4
5
6
-- ...
7
FROM private.candidate_form;
8

TRIGGER DE VUE : INSERT
CREATE FUNCTION encryption_insert() RETURNS trigger AS $$
BEGIN
INSERT INTO private.candidate_form (
first_name, -- ...
) VALUES (
pgp_sym_encrypt(
NEW.first_name,
), -- ...
);
return NEW;
END;
$$ LANGUAGE plpgsql SECURITY DEFINER;
1
2
3
4
5
6
7
8
9
10
11
12
13
first_name, -- ...
) VALUES (
pgp_sym_encrypt(
NEW.first_name,
), -- ...
);
return NEW;
1
BEGIN
2
3
4
5
6
7
8
9
10
11
END;
12
13
pgp_sym_encrypt(
NEW.first_name,
), -- ...
);
1
BEGIN
2
3
first_name, -- ...
4
) VALUES (
5
6
7
8
9
10
return NEW;
11
END;
12
13

TRIGGER DE VUE : UPDATE
CREATE FUNCTION encryption_update() RETURNS trigger AS $$
BEGIN
UPDATE private.candidate_form SET
first_name = pgp_sym_encrypt(
NEW.first_name,
),
-- ...
WHERE id = OLD.id;
return NEW;
END;
1
2
3
4
5
6
7
8
9
10
11
12
NEW.first_name,
),
-- ...
WHERE id = OLD.id;
return NEW;
1
BEGIN
2
3
4
5
6
7
8
9
10
END;
11
12
NEW.first_name,
),
-- ...
1
BEGIN
2
3
4
5
6
7
8
WHERE id = OLD.id;
9
return NEW;
10
END;
11
12

LE HIC !
Pas de contrainte d'unicité => Trigger

TRIGGER D'UNICITÉ
CREATE FUNCTION check_uniq() RETURNS TRIGGER AS $$
DECLARE
pee_identifier_already_exists boolean;
BEGIN
SELECT count(pee_identifier) > 0
INTO pee_identifier_already_exists
FROM private.candidate_form
WHERE public.pgp_sym_decrypt(
pee_identifier,
) = public.pgp_sym_decrypt(
NEW.pee_identifier,
);
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
1
DECLARE
2
3
BEGIN
4
5
6
7
8
pee_identifier,
9
10
11
NEW.pee_identifier,
12
13
);
14
15
pee_identifier,
NEW.pee_identifier,
);
1
DECLARE
2
3
BEGIN
4
5
6
7
8
9
10
11
12
13
14
15
1
DECLARE
2
3
BEGIN
4
5
6
7
8
pee_identifier,
9
10
11
NEW.pee_identifier,
12
13
);
14
15
1
DECLARE
2
3
BEGIN
4
5
6
7
8
pee_identifier,
9
10
11
NEW.pee_identifier,
12
13
);
14
15

CONCLUSION
Ça fait le job
Réalisé en quelques jours
Aucune modification serveur/service
BDD qui chiffre mais l'application a la clé

MAIS
Si mauvaise clé alors 💥

Chiffrement de base de données avec postgresql

Chiffrement de base de données avec postgresql

Recomendados

Recomendados

Mais conteúdo relacionado

Semelhante a Chiffrement de base de données avec postgresql

Semelhante a Chiffrement de base de données avec postgresql (20)

Chiffrement de base de données avec postgresql