আমার নাম ডেনিস রোজকভ, আমি পণ্য দলে গ্যাজিনফর্মসার্ভিস কোম্পানির সফ্টওয়্যার বিকাশের প্রধান যাতোবা. আইন এবং কর্পোরেট প্রবিধান ডেটা সঞ্চয়ের নিরাপত্তার জন্য কিছু প্রয়োজনীয়তা আরোপ করে। কেউ চায় না যে তৃতীয় পক্ষ গোপনীয় তথ্যে অ্যাক্সেস লাভ করুক, তাই নিম্নলিখিত বিষয়গুলি যে কোনও প্রকল্পের জন্য গুরুত্বপূর্ণ: সনাক্তকরণ এবং প্রমাণীকরণ, ডেটা অ্যাক্সেস পরিচালনা করা, সিস্টেমে তথ্যের অখণ্ডতা নিশ্চিত করা, নিরাপত্তা ইভেন্টগুলি লগিং করা। অতএব, আমি ডিবিএমএস সুরক্ষা সম্পর্কিত কিছু আকর্ষণীয় পয়েন্ট সম্পর্কে কথা বলতে চাই।

নিবন্ধটি একটি বক্তৃতার উপর ভিত্তি করে প্রস্তুত করা হয়েছিল @DatabasesMeetup, সংগঠিত Mail.ru ক্লাউড সলিউশন. আপনি যদি পড়তে না চান, আপনি দেখতে পারেন:

নিবন্ধটির তিনটি অংশ থাকবে:

• সংযোগগুলি কীভাবে সুরক্ষিত করা যায়।
• কর্মের একটি অডিট কি এবং ডাটাবেসের দিকে কী ঘটছে এবং এটির সাথে সংযোগ স্থাপন করছে তা কীভাবে রেকর্ড করা যায়।
• ডাটাবেসেই ডেটা কীভাবে সুরক্ষিত করা যায় এবং এর জন্য কী কী প্রযুক্তি পাওয়া যায়।

DBMS নিরাপত্তার তিনটি উপাদান: সংযোগ সুরক্ষা, কার্যকলাপ নিরীক্ষণ এবং ডেটা সুরক্ষা

আপনার সংযোগ সুরক্ষিত

আপনি ওয়েব অ্যাপ্লিকেশনের মাধ্যমে প্রত্যক্ষ বা পরোক্ষভাবে ডাটাবেসের সাথে সংযোগ করতে পারেন। একটি নিয়ম হিসাবে, ব্যবসায়িক ব্যবহারকারী, অর্থাৎ, যে ব্যক্তি DBMS এর সাথে কাজ করে, তার সাথে পরোক্ষভাবে যোগাযোগ করে।

সংযোগ রক্ষা করার বিষয়ে কথা বলার আগে, আপনাকে গুরুত্বপূর্ণ প্রশ্নের উত্তর দিতে হবে যা নির্ধারণ করে যে নিরাপত্তা ব্যবস্থাগুলি কীভাবে গঠন করা হবে:

• একজন ব্যবসায়িক ব্যবহারকারী কি একজন DBMS ব্যবহারকারীর সমতুল্য?
• ডিবিএমএস ডেটাতে অ্যাক্সেস শুধুমাত্র আপনার নিয়ন্ত্রণ করা একটি API-এর মাধ্যমে দেওয়া হয়, বা টেবিলগুলি সরাসরি অ্যাক্সেস করা হয় কিনা;
• DBMS একটি পৃথক সুরক্ষিত অংশে বরাদ্দ করা হয়েছে কিনা, কে এটির সাথে যোগাযোগ করে এবং কিভাবে;
• পুলিং/প্রক্সি এবং মধ্যবর্তী স্তরগুলি ব্যবহার করা হয় কিনা, যা সংযোগ কীভাবে তৈরি করা হয়েছে এবং কে ডাটাবেস ব্যবহার করছে সে সম্পর্কে তথ্য পরিবর্তন করতে পারে।

এখন দেখা যাক সংযোগ সুরক্ষিত করতে কি কি টুল ব্যবহার করা যেতে পারে:

1. ডাটাবেস ফায়ারওয়াল ক্লাস সমাধান ব্যবহার করুন। সুরক্ষার একটি অতিরিক্ত স্তর, ন্যূনতম, DBMS-এ যা ঘটছে তার স্বচ্ছতা বৃদ্ধি করবে এবং সর্বাধিক, আপনি অতিরিক্ত ডেটা সুরক্ষা প্রদান করতে সক্ষম হবেন।
2. পাসওয়ার্ড নীতি ব্যবহার করুন. তাদের ব্যবহার নির্ভর করে আপনার স্থাপত্য কিভাবে নির্মিত হয় তার উপর। যাই হোক না কেন, ডিবিএমএসের সাথে সংযোগকারী ওয়েব অ্যাপ্লিকেশনের কনফিগারেশন ফাইলের একটি পাসওয়ার্ড সুরক্ষার জন্য যথেষ্ট নয়। এমন অনেকগুলি ডিবিএমএস টুল রয়েছে যা আপনাকে ব্যবহারকারী এবং পাসওয়ার্ড আপডেট করতে হবে তা নিয়ন্ত্রণ করতে দেয়।

   আপনি ব্যবহারকারীর রেটিং ফাংশন সম্পর্কে আরও পড়তে পারেন এখানে, আপনি MS SQL ভলনারেবিলিটি অ্যাসেসম্যান সম্পর্কেও জানতে পারেন এখানে. 

3. প্রয়োজনীয় তথ্য দিয়ে অধিবেশনের প্রেক্ষাপটকে সমৃদ্ধ করুন। যদি সেশনটি অস্বচ্ছ হয়, তাহলে আপনি বুঝতে পারবেন না যে DBMS এর কাঠামোর মধ্যে কে কাজ করছে, আপনি অপারেশনের কাঠামোর মধ্যে, কে কী করছে এবং কেন করছে সে সম্পর্কে তথ্য যোগ করতে পারেন। অডিটে এসব তথ্য দেখা যায়।
4. আপনার যদি DBMS এবং শেষ ব্যবহারকারীদের মধ্যে নেটওয়ার্ক বিচ্ছেদ না থাকে তবে SSL কনফিগার করুন; এটি একটি পৃথক VLAN-এ নেই। এই ধরনের ক্ষেত্রে, ভোক্তা এবং DBMS এর মধ্যে চ্যানেলটিকে সুরক্ষিত করা অপরিহার্য। নিরাপত্তা সরঞ্জাম ওপেন সোর্স পাওয়া যায়.

এটি কিভাবে DBMS এর কর্মক্ষমতা প্রভাবিত করবে?

এসএসএল কীভাবে সিপিইউ লোডকে প্রভাবিত করে, সময় বাড়ায় এবং টিপিএস হ্রাস করে এবং আপনি যদি এটি সক্রিয় করেন তবে এটি খুব বেশি সংস্থান গ্রহণ করবে কিনা তা দেখতে পোস্টগ্রেএসকিউএল-এর উদাহরণটি দেখি।

Pgbench ব্যবহার করে PostgreSQL লোড হচ্ছে কর্মক্ষমতা পরীক্ষা চালানোর জন্য একটি সহজ প্রোগ্রাম। এটি কমান্ডের একটি একক ক্রম বারবার কার্যকর করে, সম্ভবত সমান্তরাল ডাটাবেস সেশনে, এবং তারপর গড় লেনদেনের হার গণনা করে।

SSL ছাড়া এবং SSL ব্যবহার করে 1 পরীক্ষা করুন - প্রতিটি লেনদেনের জন্য সংযোগ স্থাপন করা হয়:

pgbench.exe --connect -c 10 -t 5000 "host=192.168.220.129 dbname=taskdb user=postgres sslmode=require 
sslrootcert=rootCA.crt sslcert=client.crt sslkey=client.key"

vs

pgbench.exe --connect -c 10 -t 5000 "host=192.168.220.129 dbname=taskdb user=postgres"

SSL ছাড়া এবং SSL ব্যবহার করে 2 পরীক্ষা করুন - সমস্ত লেনদেন এক সংযোগে সঞ্চালিত হয়:

pgbench.exe -c 10 -t 5000 "host=192.168.220.129 dbname=taskdb user=postgres sslmode=require
sslrootcert=rootCA.crt sslcert=client.crt sslkey=client.key"

vs

pgbench.exe -c 10 -t 5000 "host=192.168.220.129 dbname=taskdb user=postgres"

অন্যান্য সেটিংস্:

scaling factor: 1
query mode: simple
number of clients: 10
number of threads: 1
number of transactions per client: 5000
number of transactions actually processed: 50000/50000

পরীক্ষার ফলাফল:

 
কোন SSL নেই
SSL এর

প্রতিটি লেনদেনের জন্য একটি সংযোগ স্থাপন করা হয়

বিলম্বিত গড়
171.915 এমএস
187.695 এমএস

সংযোগ স্থাপন সহ tps
58.168112
53.278062

সংযোগ স্থাপন ব্যতীত tps
64.084546
58.725846

সিপিইউ
24%
28%

সমস্ত লেনদেন এক সংযোগে সঞ্চালিত হয়

বিলম্বিত গড়
6.722 এমএস
6.342 এমএস

সংযোগ স্থাপন সহ tps
1587.657278
1576.792883

সংযোগ স্থাপন ব্যতীত tps
1588.380574
1577.694766

সিপিইউ
17%
21%

হালকা লোড এ, SSL এর প্রভাব পরিমাপ ত্রুটির সাথে তুলনীয়। যদি স্থানান্তরিত ডেটার পরিমাণ খুব বেশি হয় তবে পরিস্থিতি ভিন্ন হতে পারে। যদি আমরা প্রতি লেনদেনে একটি সংযোগ স্থাপন করি (এটি বিরল, সাধারণত সংযোগটি ব্যবহারকারীদের মধ্যে ভাগ করা হয়), আপনার কাছে প্রচুর সংখ্যক সংযোগ/বিচ্ছিন্ন রয়েছে, প্রভাবটি একটু বড় হতে পারে। অর্থাৎ, কর্মক্ষমতা হ্রাসের ঝুঁকি থাকতে পারে, তবে, সুরক্ষা ব্যবহার না করার জন্য পার্থক্যটি এত বড় নয়।

অনুগ্রহ করে মনে রাখবেন যে আপনি যদি অপারেটিং মোডগুলির তুলনা করেন তবে একটি শক্তিশালী পার্থক্য রয়েছে: আপনি একই সেশনের মধ্যে বা বিভিন্ন সময়ে কাজ করছেন। এটি বোধগম্য: প্রতিটি সংযোগ তৈরিতে সম্পদ ব্যয় করা হয়।

আমরা যখন Zabbix কে বিশ্বাস মোডে সংযুক্ত করেছি তখন আমাদের একটি কেস ছিল, অর্থাৎ, md5 চেক করা হয়নি, প্রমাণীকরণের কোন প্রয়োজন ছিল না। তারপর গ্রাহক এমডি 5 প্রমাণীকরণ মোড সক্ষম করতে বলেছেন। এটি সিপিইউতে একটি ভারী লোড রাখে এবং কর্মক্ষমতা হ্রাস পায়। আমরা অপ্টিমাইজ করার উপায় খুঁজতে শুরু করলাম। সমস্যার একটি সম্ভাব্য সমাধান হল নেটওয়ার্ক বিধিনিষেধ প্রয়োগ করা, DBMS-এর জন্য আলাদা VLAN তৈরি করা, কে কোথা থেকে সংযোগ করছে তা স্পষ্ট করতে সেটিংস যোগ করা এবং প্রমাণীকরণ অপসারণ করা। প্রমাণীকরণ সক্ষম করার সময় খরচ কমাতে আপনি প্রমাণীকরণ সেটিংসও অপ্টিমাইজ করতে পারেন, কিন্তু সাধারণভাবে বিভিন্ন পদ্ধতির ব্যবহার প্রমাণীকরণ কার্যক্ষমতাকে প্রভাবিত করে এবং DBMS-এর জন্য সার্ভারের (হার্ডওয়্যার) কম্পিউটিং ক্ষমতা ডিজাইন করার সময় এই বিষয়গুলিকে বিবেচনায় নেওয়া প্রয়োজন।

উপসংহার: বেশ কয়েকটি সমাধানে, এমনকি প্রমাণীকরণের ছোট সূক্ষ্মতাগুলি প্রকল্পটিকে ব্যাপকভাবে প্রভাবিত করতে পারে এবং এটি খারাপ যখন এটি কেবলমাত্র যখন উত্পাদনে প্রয়োগ করা হয় তখন এটি পরিষ্কার হয়ে যায়।

কর্ম নিরীক্ষা

অডিট শুধুমাত্র DBMS হতে পারে না। একটি অডিট হল বিভিন্ন বিভাগে কী ঘটছে সে সম্পর্কে তথ্য প্রাপ্ত করা। এটি একটি ডাটাবেস ফায়ারওয়াল বা অপারেটিং সিস্টেম হতে পারে যার উপর ডিবিএমএস তৈরি করা হয়েছে।

বাণিজ্যিক এন্টারপ্রাইজ স্তরের ডিবিএমএস-এ অডিট করার সাথে সবকিছু ঠিক আছে, কিন্তু ওপেন সোর্সে - সবসময় নয়। PostgreSQL এর যা আছে তা এখানে:

• ডিফল্ট লগ - অন্তর্নির্মিত লগিং;
• extensions: pgaudit - যদি ডিফল্ট লগিং আপনার জন্য যথেষ্ট না হয়, আপনি কিছু সমস্যা সমাধানের জন্য আলাদা সেটিংস ব্যবহার করতে পারেন।

ভিডিওতে প্রতিবেদনের সংযোজন:

"বেসিক স্টেটমেন্ট লগিং log_statement = all সহ একটি স্ট্যান্ডার্ড লগিং সুবিধা দ্বারা প্রদান করা যেতে পারে৷

এটি পর্যবেক্ষণ এবং অন্যান্য ব্যবহারের জন্য গ্রহণযোগ্য, কিন্তু অডিট করার জন্য সাধারণত প্রয়োজনীয় বিশদ স্তর প্রদান করে না।

ডাটাবেসে সম্পাদিত সমস্ত ক্রিয়াকলাপের একটি তালিকা থাকা যথেষ্ট নয়।

নিরীক্ষকের আগ্রহের নির্দিষ্ট বিবৃতিগুলি খুঁজে পাওয়াও সম্ভব হওয়া উচিত।

স্ট্যান্ডার্ড লগিং ব্যবহারকারী কী অনুরোধ করেছে তা দেখায়, যখন pgAudit ডাটাবেস ক্যোয়ারীটি চালানোর সময় কী ঘটেছিল তার বিশদ বিবরণের উপর ফোকাস করে।

উদাহরণস্বরূপ, অডিটর যাচাই করতে চাইতে পারে যে একটি নির্দিষ্ট টেবিলটি একটি নথিভুক্ত রক্ষণাবেক্ষণ উইন্ডোর মধ্যে তৈরি করা হয়েছে।

এটি বেসিক অডিটিং এবং গ্রেপের সাথে একটি সহজ কাজ বলে মনে হতে পারে, তবে আপনাকে যদি এইরকম কিছু (ইচ্ছাকৃতভাবে বিভ্রান্তিকর) উদাহরণ দিয়ে উপস্থাপন করা হয় তবে কী হবে:

DO$$
BEGIN
'টেবিল আমদানি তৈরি করুন' চালান || 'ant_table(id int)';
শেষ $$;

স্ট্যান্ডার্ড লগিং আপনাকে এটি দেবে:

লগ: বিবৃতি: DO $$
BEGIN
'টেবিল আমদানি তৈরি করুন' চালান || 'ant_table(id int)';
শেষ $$;

দেখা যাচ্ছে যে আগ্রহের টেবিল খুঁজে পেতে কিছু কোড জ্ঞানের প্রয়োজন হতে পারে যেখানে টেবিলগুলি গতিশীলভাবে তৈরি করা হয়।

এটি আদর্শ নয়, কারণ এটি কেবল টেবিলের নাম দ্বারা অনুসন্ধান করা বাঞ্ছনীয় হবে।

এখানেই pgAudit কাজে আসে।

একই ইনপুটের জন্য, এটি লগে এই আউটপুটটি তৈরি করবে:

অডিট: সেশন,33,1,ফাংশন,করুন,,,"করুন $$৷
BEGIN
'টেবিল আমদানি তৈরি করুন' চালান || 'ant_table(id int)';
শেষ$$;"
অডিট: SESSION,33,2,DDL,CREATE TABLE,TABLE,public.important_table,CREATE TABLE important_table (id INT)

শুধু DO ব্লকই লগ করা নয়, বিবৃতি টাইপ, অবজেক্ট টাইপ এবং পুরো নাম সহ CREATE TABLE-এর সম্পূর্ণ টেক্সট, অনুসন্ধানকে আরও সহজ করে তোলে।

SELECT এবং DML বিবৃতি লগ করার সময়, বিবৃতিতে উল্লেখ করা প্রতিটি সম্পর্কের জন্য একটি পৃথক এন্ট্রি লগ করার জন্য pgAudit কনফিগার করা যেতে পারে।

একটি নির্দিষ্ট টেবিল স্পর্শ করে এমন সমস্ত বিবৃতি খুঁজে পেতে কোন পার্সিংয়ের প্রয়োজন নেই(*) »।

এটি কিভাবে DBMS এর কর্মক্ষমতা প্রভাবিত করবে?

আসুন সম্পূর্ণ অডিটিং সক্ষম করে পরীক্ষা চালাই এবং PostgreSQL পারফরম্যান্সের কী হয় তা দেখি। চলুন সব প্যারামিটারের জন্য সর্বোচ্চ ডাটাবেস লগিং সক্ষম করি।

কনফিগারেশন ফাইলে আমরা প্রায় কিছুই পরিবর্তন করি না, সর্বাধিক গুরুত্বপূর্ণ তথ্য সর্বাধিক তথ্য পেতে ডিবাগ 5 মোড চালু করা।

postgresql.conf

log_destination = 'stderr'
লগিং_সংগ্রাহক = চালু
log_truncate_on_rotation = চালু
log_rotation_age = 1d
log_rotation_size = 10MB
log_min_messages = debug5
log_min_error_statement = debug5
log_min_duration_statement = 0
ডিবাগ_প্রিন্ট_পার্স = চালু
debug_print_rewritten = চালু
ডিবাগ_প্রিন্ট_প্ল্যান = চালু
debug_pretty_print = চালু
log_checkpoints = চালু
লগ_সংযোগ = চালু
log_disconnections = চালু
log_duration = চালু
log_hostname = চালু
log_lock_waits = চালু
log_replication_commands = চালু
log_temp_files = 0
log_timezone = 'ইউরোপ/মস্কো'

1 CPU, 2,8 GHz, 2 GB RAM, 40 GB HDD এর পরামিতি সহ একটি PostgreSQL DBMS-এ, আমরা কমান্ড ব্যবহার করে তিনটি লোড পরীক্ষা করি:

$ pgbench -p 3389 -U postgres -i -s 150 benchmark
$ pgbench -p 3389 -U postgres -c 50 -j 2 -P 60 -T 600 benchmark
$ pgbench -p 3389 -U postgres -c 150 -j 2 -P 60 -T 600 benchmark

পরীক্ষার ফলাফল:

কোন লগিং
লগিং সঙ্গে

মোট ডাটাবেস ভর্তি সময়
43,74 সেকেন্ড
53,23 সেকেন্ড

র্যাম
24%
40%

সিপিইউ
72%
91%

পরীক্ষা 1 (50 সংযোগ)

10 মিনিটে লেনদেনের সংখ্যা
74169
32445

লেনদেন/সেকেন্ড
123
54

গড় বিলম্ব
405 মি
925 মি

পরীক্ষা 2 (সম্ভব 150টির সাথে 100টি সংযোগ)

10 মিনিটে লেনদেনের সংখ্যা
81727
31429

লেনদেন/সেকেন্ড
136
52

গড় বিলম্ব
550 মি
1432 মি

মাপ সম্পর্কে

ডিবি আকার
এক্সএনইউএমএক্স এমবি
এক্সএনইউএমএক্স এমবি

ডাটাবেস লগ সাইজ
0 MB
4587 MB

নীচের লাইন: একটি সম্পূর্ণ অডিট খুব ভাল নয়। অডিট থেকে ডেটা ডাটাবেসের ডেটার মতোই বড় হবে, বা আরও বেশি। একটি DBMS এর সাথে কাজ করার সময় যে পরিমাণ লগিং তৈরি হয় তা উৎপাদনে একটি সাধারণ সমস্যা।

আসুন অন্যান্য পরামিতিগুলি দেখি:

• গতি খুব বেশি পরিবর্তন হয় না: লগিং ছাড়া - 43,74 সেকেন্ড, লগিং সহ - 53,23 সেকেন্ড।
• RAM এবং CPU কর্মক্ষমতা ক্ষতিগ্রস্ত হবে কারণ আপনাকে একটি অডিট ফাইল তৈরি করতে হবে। এটি উত্পাদনশীলতার ক্ষেত্রেও লক্ষণীয়।

সংযোগের সংখ্যা বাড়ার সাথে সাথে, স্বাভাবিকভাবেই, কর্মক্ষমতা কিছুটা খারাপ হবে।

নিরীক্ষা সহ কর্পোরেশনগুলিতে এটি আরও কঠিন:

• অনেক তথ্য আছে;
• শুধুমাত্র SIEM-এ syslog-এর মাধ্যমেই নয়, ফাইলগুলিতেও অডিট করা প্রয়োজন: syslog-তে কিছু ঘটলে, ডেটাবেসের কাছাকাছি একটি ফাইল থাকতে হবে যেখানে ডেটা সংরক্ষণ করা হয়;
• অডিট করার জন্য একটি পৃথক শেলফ প্রয়োজন যাতে I/O ডিস্কগুলি নষ্ট না হয়, কারণ এটি প্রচুর জায়গা নেয়;
• এটি ঘটে যে তথ্য সুরক্ষা কর্মীদের সর্বত্র GOST মান প্রয়োজন, তাদের রাষ্ট্র সনাক্তকরণ প্রয়োজন।

ডেটা অ্যাক্সেস সীমাবদ্ধ করা

আসুন সেই প্রযুক্তিগুলি দেখি যা ডেটা সুরক্ষিত করতে এবং এটি বাণিজ্যিক DBMS এবং ওপেন সোর্সে অ্যাক্সেস করতে ব্যবহৃত হয়।

আপনি সাধারণত কি ব্যবহার করতে পারেন:

1. পদ্ধতি এবং ফাংশনগুলির এনক্রিপশন এবং অস্পষ্টতা (র্যাপিং) - অর্থাৎ, পৃথক সরঞ্জাম এবং ইউটিলিটিগুলি যা পাঠযোগ্য কোডকে অপঠনযোগ্য করে তোলে। সত্য, তাহলে এটি পরিবর্তন করা যাবে না বা পুনরায় ফ্যাক্টর করা যাবে না। এই পদ্ধতিটি কখনও কখনও অন্তত DBMS দিকের প্রয়োজন হয় - লাইসেন্স সীমাবদ্ধতার যুক্তি বা অনুমোদনের যুক্তি পদ্ধতি এবং ফাংশন স্তরে অবিকল এনক্রিপ্ট করা হয়।
2. সারি দ্বারা ডেটার দৃশ্যমানতা সীমিত করা (RLS) হল যখন বিভিন্ন ব্যবহারকারীরা একটি টেবিল দেখতে পান, কিন্তু এতে সারিগুলির একটি ভিন্ন সংমিশ্রণ, অর্থাৎ, সারি স্তরে কাউকে কিছু দেখানো যাবে না।
3. প্রদর্শিত ডেটা সম্পাদনা করা (মাস্কিং) হল যখন টেবিলের একটি কলামে ব্যবহারকারীরা হয় ডেটা বা শুধুমাত্র তারকাচিহ্নগুলি দেখতে পান, অর্থাৎ, কিছু ব্যবহারকারীর জন্য তথ্য বন্ধ হয়ে যাবে। প্রযুক্তি নির্ধারণ করে কোন ব্যবহারকারীকে তাদের অ্যাক্সেস লেভেলের উপর ভিত্তি করে কী দেখানো হবে।
4. সিকিউরিটি ডিবিএ/অ্যাপ্লিকেশন ডিবিএ/ডিবিএ অ্যাক্সেস কন্ট্রোল, বরং, ডিবিএমএস-এ অ্যাক্সেস সীমিত করার বিষয়ে, অর্থাৎ, তথ্য নিরাপত্তা কর্মীদের ডাটাবেস অ্যাডমিনিস্ট্রেটর এবং অ্যাপ্লিকেশন অ্যাডমিনিস্ট্রেটরদের থেকে আলাদা করা যেতে পারে। ওপেন সোর্সে এরকম কয়েকটি প্রযুক্তি রয়েছে, তবে বাণিজ্যিক ডিবিএমএসে সেগুলির প্রচুর রয়েছে। তাদের প্রয়োজন হয় যখন অনেক ব্যবহারকারীর সার্ভারে অ্যাক্সেস থাকে।
5. ফাইল সিস্টেম স্তরে ফাইলগুলিতে অ্যাক্সেস সীমাবদ্ধ করা। আপনি ডিরেক্টরিগুলিতে অধিকার এবং অ্যাক্সেসের বিশেষাধিকার প্রদান করতে পারেন যাতে প্রতিটি প্রশাসকের শুধুমাত্র প্রয়োজনীয় ডেটাতে অ্যাক্সেস থাকে।
6. বাধ্যতামূলক অ্যাক্সেস এবং মেমরি ক্লিয়ারিং - এই প্রযুক্তিগুলি খুব কমই ব্যবহৃত হয়।
7. ডিবিএমএস থেকে সরাসরি এন্ড-টু-এন্ড এনক্রিপশন হল ক্লায়েন্ট-সাইড এনক্রিপশন যার সার্ভার সাইডে কী ব্যবস্থাপনা রয়েছে।
8. তথ্য এনক্রিপশন. উদাহরণস্বরূপ, কলামার এনক্রিপশন হল যখন আপনি একটি মেকানিজম ব্যবহার করেন যা ডাটাবেসের একটি একক কলাম এনক্রিপ্ট করে।

এটি কিভাবে DBMS এর কর্মক্ষমতা প্রভাবিত করে?

আসুন PostgreSQL-এ কলামার এনক্রিপশনের উদাহরণ দেখি। একটি pgcrypto মডিউল আছে, এটি আপনাকে নির্বাচিত ক্ষেত্রগুলিকে এনক্রিপ্ট করা আকারে সংরক্ষণ করতে দেয়। শুধুমাত্র কিছু ডেটা মূল্যবান হলে এটি কার্যকর। এনক্রিপ্ট করা ক্ষেত্রগুলি পড়ার জন্য, ক্লায়েন্ট একটি ডিক্রিপশন কী প্রেরণ করে, সার্ভার ডেটা ডিক্রিপ্ট করে এবং ক্লায়েন্টকে ফেরত দেয়। কী ছাড়া, কেউ আপনার ডেটা দিয়ে কিছু করতে পারবে না।

আসুন pgcrypto দিয়ে পরীক্ষা করি. আসুন এনক্রিপ্ট করা ডেটা এবং নিয়মিত ডেটা সহ একটি টেবিল তৈরি করি। নীচে টেবিল তৈরির জন্য কমান্ড রয়েছে, প্রথম লাইনে একটি দরকারী কমান্ড রয়েছে - ডিবিএমএস নিবন্ধনের সাথে এক্সটেনশনটি নিজেই তৈরি করা:

CREATE EXTENSION pgcrypto;
CREATE TABLE t1 (id integer, text1 text, text2 text);
CREATE TABLE t2 (id integer, text1 bytea, text2 bytea);
INSERT INTO t1 (id, text1, text2)
VALUES (generate_series(1,10000000), generate_series(1,10000000)::text, generate_series(1,10000000)::text);
INSERT INTO t2 (id, text1, text2) VALUES (
generate_series(1,10000000),
encrypt(cast(generate_series(1,10000000) AS text)::bytea, 'key'::bytea, 'bf'),
encrypt(cast(generate_series(1,10000000) AS text)::bytea, 'key'::bytea, 'bf'));

এর পরে, আসুন প্রতিটি টেবিল থেকে একটি ডেটা নমুনা তৈরি করার চেষ্টা করি এবং কার্যকর করার সময়গুলি দেখুন।

এনক্রিপশন ফাংশন ছাড়াই একটি টেবিল থেকে নির্বাচন করা:

psql -c "timing" -c "select * from t1 limit 1000;" "host=192.168.220.129 dbname=taskdb
user=postgres sslmode=disable" > 1.txt

স্টপওয়াচ চালু আছে।

  আইডি | text1 | টেক্সট2
——+——-+——-
1 | 1 | 1
2 | 2 | 2
3 | 3 | 3
...
997 | 997 | 997
998 | 998 | 998
999 | 999 | 999
1000 | 1000 | 1000
(1000 লাইন)

সময়: 1,386 ms

এনক্রিপশন ফাংশন সহ একটি টেবিল থেকে নির্বাচন:

psql -c "timing" -c "select id, decrypt(text1, 'key'::bytea, 'bf'),
decrypt(text2, 'key'::bytea, 'bf') from t2 limit 1000;"
"host=192.168.220.129 dbname=taskdb user=postgres sslmode=disable" > 2.txt

স্টপওয়াচ চালু আছে।

  আইডি | ডিক্রিপ্ট | ডিক্রিপ্ট
——+——————+———
1 | x31 | x31
2 | x32 | x32
3 | x33 | x33
...
999 | x393939 | x393939
1000 | x31303030 | x31303030
(1000 লাইন)

সময়: 50,203 ms

পরীক্ষার ফলাফল:

 
এনক্রিপশন ছাড়াই
Pgcrypto (ডিক্রিপ্ট)

নমুনা 1000 সারি
1,386 মি
50,203 মি

সিপিইউ
15%
35%

র্যাম
 
+ + 5%

এনক্রিপশন কর্মক্ষমতা উপর একটি বড় প্রভাব আছে. এটি দেখা যায় যে সময় বৃদ্ধি পেয়েছে, যেহেতু এনক্রিপ্ট করা ডেটার ডিক্রিপশন অপারেশনের জন্য (এবং ডিক্রিপশন সাধারণত এখনও আপনার যুক্তিতে মোড়ানো থাকে) উল্লেখযোগ্য সংস্থানগুলির প্রয়োজন৷ অর্থাৎ, কিছু ডেটা সম্বলিত সমস্ত কলাম এনক্রিপ্ট করার ধারণাটি কর্মক্ষমতা হ্রাসের সাথে পরিপূর্ণ।

যাইহোক, এনক্রিপশন একটি রূপালী বুলেট নয় যা সমস্ত সমস্যার সমাধান করে। ডিক্রিপ্ট করা ডেটা এবং ডিক্রিপ্ট করা এবং ডেটা প্রেরণ করার প্রক্রিয়া চলাকালীন ডিক্রিপশন কী সার্ভারে অবস্থিত। অতএব, কীগুলি এমন কেউ আটকাতে পারে যার ডাটাবেস সার্ভারে সম্পূর্ণ অ্যাক্সেস রয়েছে, যেমন একজন সিস্টেম অ্যাডমিনিস্ট্রেটর।

যখন সমস্ত ব্যবহারকারীর জন্য সম্পূর্ণ কলামের জন্য একটি কী থাকে (সকলের জন্য না হলেও, কিন্তু একটি সীমিত সেটের ক্লায়েন্টদের জন্য), এটি সর্বদা ভাল এবং সঠিক নয়। এ কারণেই তারা এন্ড-টু-এন্ড এনক্রিপশন করতে শুরু করে, ডিবিএমএসে তারা ক্লায়েন্ট এবং সার্ভার সাইডে ডেটা এনক্রিপ্ট করার বিকল্পগুলি বিবেচনা করতে শুরু করে এবং সেই একই কী-ভল্ট স্টোরেজগুলি উপস্থিত হয়েছিল - পৃথক পণ্য যা ডিবিএমএসে কী পরিচালনা প্রদান করে পক্ষ

MongoDB-তে এই ধরনের এনক্রিপশনের একটি উদাহরণ

বাণিজ্যিক এবং ওপেন সোর্স DBMS-এ নিরাপত্তা বৈশিষ্ট্য

ক্রিয়াকলাপ
আদর্শ
পাসওয়ার্ড নীতি
নিরীক্ষা
পদ্ধতি এবং ফাংশন উত্স কোড রক্ষা
RLS
এনক্রিপশন

আকাশবাণী
ব্যবসায়িক
+
+
+
+
+

MsSql
ব্যবসায়িক
+
+
+
+
+

যাতোবা
ব্যবসায়িক
+
+
+
+
এক্সটেনশন

পোস্টগ্রি
বিনামূল্যে
এক্সটেনশন
এক্সটেনশন
-
+
এক্সটেনশন

মঙ্গোডিবি
বিনামূল্যে
-
+
-
-
শুধুমাত্র MongoDB এন্টারপ্রাইজে উপলব্ধ

টেবিলটি সম্পূর্ণ থেকে অনেক দূরে, তবে পরিস্থিতিটি হল: বাণিজ্যিক পণ্যগুলিতে, সুরক্ষা সমস্যাগুলি দীর্ঘদিন ধরে সমাধান করা হয়েছে, ওপেন সোর্সে, একটি নিয়ম হিসাবে, সুরক্ষার জন্য কিছু ধরণের অ্যাড-অন ব্যবহার করা হয়, অনেকগুলি ফাংশন অনুপস্থিত। , কখনও কখনও আপনাকে কিছু যোগ করতে হবে। উদাহরণস্বরূপ, পাসওয়ার্ড নীতি - PostgreSQL এর বিভিন্ন এক্সটেনশন রয়েছে (1, 2, 3, 4, 5), যা পাসওয়ার্ড নীতিগুলি বাস্তবায়ন করে, কিন্তু, আমার মতে, এগুলির কোনোটিই দেশীয় কর্পোরেট বিভাগের সমস্ত চাহিদাকে কভার করে না৷

আপনার যা প্রয়োজন তা কোথাও না থাকলে কী করবেন? উদাহরণস্বরূপ, আপনি একটি নির্দিষ্ট ডিবিএমএস ব্যবহার করতে চান যাতে গ্রাহকের প্রয়োজনীয় ফাংশন নেই।

তারপরে আপনি তৃতীয় পক্ষের সমাধানগুলি ব্যবহার করতে পারেন যা বিভিন্ন ডিবিএমএসের সাথে কাজ করে, উদাহরণস্বরূপ, ক্রিপ্টো ডিবি বা গার্ডা ডিবি৷ আমরা যদি ঘরোয়া সেগমেন্ট থেকে সমাধান সম্পর্কে কথা বলি, তাহলে তারা ওপেন সোর্সের চেয়ে GOSTs সম্পর্কে ভালো জানে।

দ্বিতীয় বিকল্পটি হ'ল আপনার নিজের যা প্রয়োজন তা লিখুন, পদ্ধতি স্তরে অ্যাপ্লিকেশনটিতে ডেটা অ্যাক্সেস এবং এনক্রিপশন প্রয়োগ করুন। সত্য, এটি GOST এর সাথে আরও কঠিন হবে। কিন্তু সাধারণভাবে, আপনি প্রয়োজনীয় ডেটা লুকিয়ে রাখতে পারেন, এটি একটি DBMS-এ রাখতে পারেন, তারপরে এটি পুনরুদ্ধার করতে পারেন এবং প্রয়োজন অনুসারে এটিকে ডিক্রিপ্ট করতে পারেন, সরাসরি অ্যাপ্লিকেশন স্তরে। একই সময়ে, অবিলম্বে আপনি কিভাবে অ্যাপ্লিকেশন এই অ্যালগরিদম রক্ষা করবেন সম্পর্কে চিন্তা করুন. আমাদের মতে, এটি ডিবিএমএস স্তরে করা উচিত, কারণ এটি দ্রুত কাজ করবে।

এই রিপোর্ট প্রথম উপস্থাপন করা হয় @ডেটাবেস মিটআপ Mail.ru ক্লাউড সলিউশন দ্বারা। দেখুন видео অন্যান্য পারফরম্যান্স এবং টেলিগ্রামে ইভেন্টের ঘোষণার সদস্যতা নিন Mail.ru গ্রুপে কুবারনেটসের চারপাশে.

টপিক আর কি পড়া:

1. Ceph এর চেয়ে বেশি: MCS ক্লাউড ব্লক স্টোরেজ.
2. একটি প্রকল্পের জন্য একটি ডাটাবেস কিভাবে চয়ন করবেন যাতে আপনাকে আবার নির্বাচন করতে হবে না.

উত্স: www.habr.com