Jak zaszyfrować bazę danych w spoczynku w PostgreSQL na Ubuntu 22.04

Ochrona danych to priorytet w zarządzaniu systemami bazodanowymi. Szyfrowanie przechowywanych danych to fundament bezpieczeństwa, który chroni przed nieuprawnionym dostępem, nawet w przypadku naruszenia integralności bazy. Niniejszy poradnik prezentuje, jak skutecznie zaszyfrować bazę danych w systemie PostgreSQL działającym na serwerze Ubuntu 22.04.

Wprowadzenie do tematu

PostgreSQL to popularny i otwarty system zarządzania bazami danych, oferujący zaawansowane funkcje, w tym opcję szyfrowania danych „w spoczynku”. Szyfrowanie „w spoczynku” polega na transformacji danych zapisanych w plikach bazy na postać nieczytelną, co skutecznie uniemożliwia odczyt informacji przez nieautoryzowane podmioty.

Zastosowanie szyfrowania danych „w spoczynku” niesie ze sobą szereg korzyści:

• Zabezpieczenie danych przed dostępem nieuprawnionych osób, nawet w sytuacji włamania do bazy danych.
• Spełnienie wymogów przepisów oraz standardów bezpieczeństwa.
• Znacząca poprawa ogólnego poziomu bezpieczeństwa systemu bazodanowego.

Wymagania wstępne

Aby postępować zgodnie z instrukcjami tego przewodnika, niezbędne jest posiadanie:

• Serwera z zainstalowanym systemem Ubuntu 22.04.
• Poprawnie zainstalowanego i skonfigurowanego systemu PostgreSQL.
• Konta użytkownika PostgreSQL z uprawnieniami administratora.

Proces konfiguracji szyfrowania

1. Generowanie klucza szyfrowania

Pierwszym krokiem jest utworzenie głównego klucza szyfrowania, który posłuży do kodowania i dekodowania danych.

  
  pgcrypto -c my-encryption-key
  
  

2. Aktywacja rozszerzenia pgcrypto

Konieczne jest aktywowanie rozszerzenia pgcrypto w ramach bazy danych PostgreSQL. To rozszerzenie udostępnia funkcje niezbędne do szyfrowania i deszyfrowania danych.

  
  sudo apt install postgresql-contrib
  psql -U postgres
  CREATE EXTENSION pgcrypto;
  
  

3. Szyfrowanie konkretnej kolumny

Następnie można przejść do szyfrowania wybranych kolumn w tabelach. W poniższym przykładzie zaszyfrowana zostanie kolumna „dane_wrażliwe” w tabeli „mojatabela”.

  
  ALTER TABLE mojatabela ALTER COLUMN dane_wrażliwe SET DATA TYPE bytea;
  UPDATE mojatabela SET dane_wrażliwe = pgcrypto.encrypt('wartość kolumny', 'my-encryption-key');
  
  

4. (Opcjonalnie) Zmiana algorytmu szyfrowania

Domyślnie PostgreSQL wykorzystuje algorytm AES-256 do szyfrowania danych „w spoczynku”. Istnieje możliwość zmiany algorytmu poprzez modyfikację pliku konfiguracyjnego PostgreSQL.

  
  sudo nano /etc/postgresql/14/main/postgresql.conf
  
  

W pliku konfiguracyjnym należy dodać następującą linię:

  
  encryption_default_algorithm = 'aes-256-cbc'
  
  

Po wprowadzeniu zmian plik należy zapisać.

5. Restart usługi PostgreSQL

Po wprowadzeniu zmian konfiguracyjnych konieczne jest ponowne uruchomienie usługi PostgreSQL, aby zmiany zostały zaaplikowane.

  
  sudo systemctl restart postgresql
  
  

Weryfikacja skuteczności szyfrowania

1. Kontrola zaszyfrowanych danych

Aby upewnić się, że dane zostały poprawnie zaszyfrowane, można wykonać następujące zapytanie:

  
  SELECT dane_wrażliwe FROM mojatabela;
  
  

W wyniku zapytania powinien zostać wyświetlony ciąg zaszyfrowanych znaków.

2. Deszyfrowanie danych

Aby odzyskać oryginalną postać danych, należy skorzystać z funkcji pgcrypto.decrypt():

  
  SELECT pgcrypto.decrypt(dane_wrażliwe, 'my-encryption-key') FROM mojatabela;
  
  

Powyższe zapytanie powinno wyświetlić odszyfrowaną zawartość kolumny „dane_wrażliwe”.

Zarządzanie bezpieczeństwem i kluczami

1. Zarządzanie kluczami szyfrowania

Klucz szyfrowania odgrywa kluczową rolę w całym systemie. Niezwykle ważne jest, aby dbać o jego bezpieczeństwo poprzez odpowiednie przechowywanie i regularną rotację.

2. Zabezpieczenie kopii zapasowych

W przypadku tworzenia kopii zapasowych zaszyfrowanych danych, należy upewnić się, że są one również zaszyfrowane. Kopia zapasowa zawierająca dane w postaci niezaszyfrowanej stwarza potencjalne ryzyko dla bezpieczeństwa.

Podsumowanie

Szyfrowanie danych „w spoczynku” w PostgreSQL jest skuteczną metodą na zabezpieczenie danych przed nieautoryzowanym dostępem. Przestrzegając kroków opisanych w tym przewodniku, można znacząco podnieść poziom bezpieczeństwa danych i spełnić obowiązujące normy bezpieczeństwa. Należy jednak pamiętać o odpowiedzialnym zarządzaniu kluczami szyfrowania oraz o zabezpieczeniu kopii zapasowych, aby zapewnić kompleksową ochronę danych.

Najczęściej zadawane pytania (FAQ)

1. Jakie są zalety szyfrowania danych „w spoczynku”?

• Ochrona przed nieuprawnionym dostępem do danych.
• Zgodność z regulacjami i standardami bezpieczeństwa.
• Zwiększenie ogólnego poziomu bezpieczeństwa systemu bazodanowego.

2. Jakie algorytmy szyfrowania wspiera PostgreSQL?

PostgreSQL oferuje następujące algorytmy szyfrowania:

• AES-256-CBC
• AES-256-GCM
• Blowfish-CBC
• DES-CBC
• 3DES-CBC

3. Jak zmienić domyślny algorytm szyfrowania?

Można to zrobić modyfikując plik konfiguracyjny PostgreSQL (/etc/postgresql/14/main/postgresql.conf), dodając linię:

encryption_default_algorithm = 'nazwa_algorytmu'

4. Jak sprawdzić, czy dane są zaszyfrowane?

Wykonując zapytanie:

SELECT kolumna_z_danymi FROM tabela;

Wynik powinien przedstawiać ciąg zaszyfrowanych danych.

5. Jak odszyfrować zaszyfrowane dane?

Wykorzystując funkcję pgcrypto.decrypt():

SELECT pgcrypto.decrypt(kolumna_z_danymi, 'klucz_szyfrowania') FROM tabela;

6. Jak poprawnie zarządzać kluczami szyfrowania?

• Przechowuj klucze w bezpiecznym miejscu.
• Regularnie zmieniaj klucze.
• Unikaj przechowywania kluczy w postaci jawnej.

7. Czy kopie zapasowe również powinny być szyfrowane?

Tak, szyfrowanie kopii zapasowych jest kluczowe dla utrzymania bezpieczeństwa danych.

8. Jakich narzędzi można użyć do szyfrowania danych w PostgreSQL?

• Rozszerzenie pgcrypto
• Biblioteka OpenSSL

Tagi

PostgreSQL, Ubuntu 22.04, Szyfrowanie danych, pgcrypto, Bezpieczeństwo baz danych