3

Recentemente eu venho tendo a curiosidade sobre a utilidade de se criptografar todos os campos de todas as tabelas de um banco de dados.

A ideia é a seguinte:

  1. Criar dois secrets (um no banco e outro na aplicação);
  2. A aplicação fica responsável por criptografar/descriptografar os dados;
  3. Todos os dados que vão pro banco já estão criptografados;
  4. A aplicação usa os dois secrets (dela e do banco) para criptografar/descriptografar os dados.

As vantagens que eu vejo são:

  • Qualquer forma de extração de dados pontuais que não seja pela aplicação resulta em dados criptografados, e portanto inúteis para o invasor.
  • Mesmo no caso de uma cópia completa do banco, o invasor teria apenas os dados criptografados, sem utilidade.
  • O invasor obteria sucesso apenas no caso de uma invasão em ambos os servidores: Servidor de BD e Servidor com código da aplicação.

Vale a pena trabalhar com esse nível de segurança para evitar vazamentos em larga escala no caso de invasões?

8
  • Você precisa avaliar o desempenho da aplicação para criptografar/descriptografar os dados, ou você não irá levar isso em conta? Commented 2/04/2019 às 18:47
  • Por que criptografar um dado que é público? Por exemplo, o nome de um usuário ou produto
    – Costamilam
    Commented 2/04/2019 às 18:49
  • @Costamilam é público até certo ponto. Se você somar o nome do usuário a outras informações também "inofensívas", em um vazamento com milhões de contas, você tem ensumos para campanhas de phishing, spam, engenharia social, etc.
    – Kazzkiq
    Commented 2/04/2019 às 18:54
  • Mas a diferença é entre pegar esses dados invadindo seu banco (que é bem dificil) e fazer um parse dos dados providos pela sua aplicação (bem mais fácil)
    – Costamilam
    Commented 2/04/2019 às 19:00
  • 1
    Escolta armada para caminhão de mudança , o preço da operação não paga o roubo , tem de pesar quanto custaria a perda do dado , uns anos atrás a Petrobrás teria perdido um computador com dados de reservas de petróleo , o dado valeria bilhões de vezes o preço da máquina , quanto vale seu dado ?
    – Motta
    Commented 2/04/2019 às 23:41

1 Resposta 1

3

Essa não é uma resposta que se dá para um cenário global, porque muita coisa influencia na decisão a ser tomada, entre elas:

  • O grau de confidencialidade das informações armazenadas no banco;
  • O desempenho da máquina por parte do banco;
  • O desempenho da máquina por parte do cliente;
  • O tamanho das informações armazenadas e das consultas a serem realizadas.

A principal ideia de encriptar o conteúdo de um banco de dados é proteger seu conteúdo. O princípio da criptografia é proteger que alguém não entenda/leia/intercepte o que dois pontos compartilham. De qualquer forma, é possível interceptar informações antes delas serem encriptadas, ou após serem descriptografadas.

Até mesmo, é possível interceptar a chave compartilhada, uma vez que você mencionou uma transação simétrica, onde a ponta A e a ponta B compartilham a mesma chave privada.

  • Qualquer forma de extração de dados pontuais que não seja pela aplicação resulta em dados criptografados, e portanto inúteis para o invasor.

Se ele conseguiu extrair informação do seu banco sem uma legítima "autorização", seu banco é inseguro e há falhas de segurança nele. Proteger o conteúdo dele faz com que você espere exploits e vazamentos do mesmo. Portanto, um dos motivos da proteção de informação interna é a ciência da autenticação insegura.

  • Mesmo no caso de uma cópia completa do banco, o invasor teria apenas os dados criptografados, sem utilidade.

Complementando o que disse acima, se ele conseguiu invadir o seu banco, ele vai conseguir invadir sua aplicação, e logo a chave privada. Muitas vezes, as técnicas de invasão de bancos podem ser globais e não destinadas aos bancos, como por exemplo, ele pode ter acessado o servidor onde o banco está hospedado. Logo, ele terá a chave simétrica. Mas não faz nenhum sentido ter a chave privada armazenada no servidor destino.

  • O invasor obteria sucesso apenas no caso de uma invasão em ambos os servidores: Servidor de BD e Servidor com código da aplicação.

Na verdade, se ele invadisse o cliente, ele já conseguiria acesso tanto no banco de dados e nem precisaria do código da aplicação. As transações entre o cliente e os demais servidores poderiam ser interceptadas em um ambiente destinado. Por mais que o pacote venha criptografado de sua origem, ele deve ser descriptografado em seu cliente, e brevemente, armazenado em sua memória aquela informação.

Você pode encriptar a sua transação com outra ponta usando SSL/TLS, onde seu nome já explica o que está ocorrendo ali. A proteção é dividida numa chave assimétrica entre as duas pontas. O CloudFlare faz isso bem, e também otimiza a entrega dessa transação.

Se você quiser proteger o disco onde seu banco está armazenado, você pode utilizar EFS. Também é recomendado utilizar um certificado de autenticação SSH para acessar o servidor onde suas informações estão armazenadas. Utilizar uma simples senha para acessar um servidor onde há tanta informação confidencial não faz nenhum sentido.

No wikipedia há um artigo explicando exatamente esse assunto, é bom para complementar o que você leu aqui.

Em suma, criptografar seu banco de dados não irá prevenir uma exposição de dados. Talvez um pouco, mas não o suficiente. A proteção deve ser investida em autenticação e segurança pelas transações, e claro, no seu cliente. Aqui é bem explicado como você protege seu cliente com uploads seguros, e aqui mostra como proteger uma string, no seu caso, uma chave simétrica.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .