PostgreSQL 数据安全之数据加密

可能岁月会偷走等待

文章目次

• 
  
  
  
  • 密码减稀
    
  • 字段减稀
    
  • 存储减稀
    
  • 传输减稀
    
  • 认证减稀
    
  • 使用减稀
    
  
  

大家好，我是只道手艺没有剃头的 Tony 教师。
《中华群众共战国数据宁静法》自 2021 年 9 月 1 日开端实施，那是我国第一部有闭数据宁静的特地法令。取此同时，《中华群众共战国小我私家疑息庇护法》也将于 2021 年11月1日起实施。相干法令的连续出台，意味着国度关于疑息宁静庇护轨制的完竣，同时也对存储战处置数据的企业战构造提出了更下的请求。
数据库做为存储电子数据的次要方法，需求经由过程减稀手艺庇护敏感数据，如小我私家医疗记载或金融买卖数据。本文给大家引见一些 PostgreSQL 供给的减稀手艺。PostgreSQL 撑持多个差别级此外灵敏减稀手艺，能够庇护数据没有果数据库效劳器被匪、内乱部办理员大要没有宁静的收集传输而招致透露。
密码减稀

PostgreSQL 撑持用户密码的减稀存储（减稀方法由 password_encryption 参数决议），确保数据库办理员没法获得用户的密码。
假如我们接纳了 SCRAM 大要 MD5 减稀的客户端认证，明文密码以至没有会正在效劳器中呈现，由于客户端正在收收之前便曾经停止了密码减稀。保举利用 SCRAM 减稀，由于它是一个互联网尺度，并且比 PostgreSQL 利用的 MD5 认证和谈更宁静。
留意，某些旧的客户端能够没有撑持 SCRAM 认证机造，因而没法利用 SCRAM-SHA-256 减稀后的密码。闭于密码认证的详细疑息能够参考民圆文档。
字段减稀

PostgreSQL pgcrypto 模块能够用于减稀指定字段。这类方法关于敏感数据的包罗十分有效。查询数据时，客户端供给解稀稀钥，数据正在效劳器端解稀后收收给客户端。
解稀后的数据息争稀稀钥正在解稀和传输过程当中会正在效劳器中长久存正在，那一长久时辰能够招致具有数据库效劳器完整会见权限的用户（例如体系办理员）阻拦获得数据战稀钥。
存储减稀

存储减稀能够正在文件体系级别大要块级别完成。Linux 文件体系减稀选项包罗 eCryptfs 战 EncFS，FreeBSD 利用 PEFS 减稀手艺。块级别大要整盘减稀选项包罗 Linux 操纵体系的 dm-crypt + LUKS ，和 FreeBSD 操纵体系的 GEOM 模块 geli 战 gbde。包罗 Windows 正在内乱的很多其他操纵体系皆撑持减稀功用。
存储减稀手艺能够避免计较机被匪后已减稀数据的透露。这类方法没法构造文件体系减载以后的进犯，由于一旦减载文件体系，操纵体系便供给了一个已减稀的数据视图。虽然云云，为了能够减载文件体系，用户必需接纳某种方法将减稀稀钥通报给操纵体系，偶然候稀钥便存储正在减载磁盘的主机中。
传输减稀

SSL 毗连能够减稀收集传输中的一切数据，包罗：密码、查询语句和返回的成果。pg_hba.conf 设置文件能够许可办理员指定哪些主机可使用非减稀毗连（host），和哪些主机需求利用 SSL 减稀毗连（hostssl）。同时，客户端能够指定只经由过程 SSL 毗连到效劳器。
GSSAPI 减稀毗连能够减稀收集传输中的一切数据，包罗查询语句战返回的成果（密码没有会经由过程收集传输）。pg_hba.conf 设置文件能够许可办理员指定哪些主机可使用非减稀毗连（host），和哪些主机需求利用 GSSAPI 减稀毗连（hostgssenc）。同时，客户端能够指定只经由过程 SSL 毗连到效劳器（gssencmode=require）。
除此以外，Stunnel 大要 SSH 也可用于减稀传输。
认证减稀

PostgreSQL 客户端战效劳器皆能够供给互相的 SSL 认证。认证减稀需求客户端战效劳器的一些分外设置，可是能够供给比密码更宁静的身份认证。
认证减稀能够避免机械假装成数据库效劳器读与客户端收收的密码，同时也能够避免“中心人”进犯，也便是正在客户端战效劳器中心的机械假装成效劳器读与战通报它们之间的一切数据。
使用减稀

假如数据库效劳器的办理员不成疑，需求利用客户端减稀手艺。如许的话明文数据起首会正在客户端使用中停止减稀，收集中传输的便是稀文数据，数据库中没有会呈现明文数据。这类方法也被称为齐减稀数据库打点计划。

【图片滥觞：阿里云】
留意，这类方法查询的数据成果需求正在客户端使用中停止解稀后才气利用，没法正在数据库中利用 SQL 停止操纵。
假如您觉得文章有效，欢迎扫一扫：

免责声明：假如进犯了您的权益，请联络站少，我们会实时删除侵权内乱容，感谢协作！