মাইএসকিউএল-এ এনক্রিপশন: মাস্টার কী রোটেশন

কোর্সের জন্য একটি নতুন তালিকাভুক্তি শুরু হওয়ার প্রত্যাশায় "তথ্যশালা" আমরা MySQL-এ এনক্রিপশন সম্পর্কে ধারাবাহিক নিবন্ধ প্রকাশ করতে থাকি।

এই সিরিজের আগের প্রবন্ধে আমরা আলোচনা করেছি কিভাবে মাস্টার কী এনক্রিপশন কাজ করে. আজ, আগে অর্জিত জ্ঞানের উপর ভিত্তি করে, আসুন মূল কীগুলির ঘূর্ণনটি দেখি।

মাস্টার কী ঘূর্ণনের মধ্যে একটি নতুন মাস্টার কী তৈরি করা এবং এই নতুন কী দিয়ে টেবিলস্পেস কীগুলি (যা টেবিলস্পেস হেডারে সংরক্ষিত থাকে) পুনরায় এনক্রিপ্ট করা জড়িত।

একটি এনক্রিপ্ট করা টেবিলস্পেসের শিরোনামটি কেমন তা মনে করা যাক:

পূর্ববর্তী নিবন্ধ থেকে, আমরা জানি যে সার্ভারটি স্টার্টআপে সমস্ত এনক্রিপ্ট করা টেবিলস্পেসের শিরোনাম পড়ে এবং সবচেয়ে বড় KEY ID মনে রাখে। উদাহরণস্বরূপ যদি আমাদের KEY সহ তিনটি টেবিল থাকেID = 3 এবং KEY সহ একটি টেবিলID = 4, তাহলে সর্বাধিক কী ID হবে 4। এই KEY ID - MAX KEY ID বলি।

কিভাবে মাস্টার কী ঘূর্ণন কাজ করে

1. ব্যবহারকারী ALTER INNODB মাস্টার কী চালায়।

2. সার্ভার UUID এবং KEY দিয়ে একটি নতুন মাস্টার কী তৈরি করার জন্য কীরিংকে অনুরোধ করেআইডি এক প্লাস MAX এর সমানচাবিআইডি তাই আমরা INNODB এর সমান মাস্টার কী আইডি পাইKEY-UUID-(MAXচাবিআইডি + 1)। মাস্টার কী সফলভাবে তৈরি করার পরে, MAX KEY ID এক দ্বারা বৃদ্ধি পায় (অর্থাৎ MAXচাবিID=MAXচাবিআইডি + 1)।

3. সার্ভারটি মাস্টার কী দিয়ে এনক্রিপ্ট করা সমস্ত টেবিলস্পেস স্ক্যান করে এবং প্রতিটি টেবিলস্পেসের জন্য:

• নতুন মাস্টার কী দিয়ে টেবিলস্পেস কী এনক্রিপ্ট করে;

• নতুন MAX-এ কী আইডি আপডেট করেচাবিআইডি;

• যদি UUID সার্ভার UUID থেকে আলাদা হয়, তাহলে সার্ভার UUID আপডেট করুন।

আমরা জানি, একটি টেবিল ডিক্রিপ্ট করতে ব্যবহৃত মাস্টার কী আইডিতে একটি UUID এবং টেবিলস্পেস হেডার থেকে পড়া একটি KEY আইডি থাকে। আমরা এখন যা করছি তা হল টেবিলস্পেস এনক্রিপশন হেডারে এই তথ্য আপডেট করা যাতে সার্ভার সঠিক মাস্টার কী পায়।

যদি আমাদের কাছে বিভিন্ন অবস্থান থেকে টেবিলস্পেস থাকে, যেমন বিভিন্ন ব্যাকআপ, তাহলে তারা বিভিন্ন মাস্টার কী ব্যবহার করতে পারে। সার্ভার চালু হলে এই সমস্ত মাস্টার কীগুলি সংগ্রহস্থল থেকে পুনরুদ্ধার করতে হবে। এটি সার্ভার স্টার্টআপকে ধীর করে দিতে পারে, বিশেষ করে যদি সার্ভার-সাইড কী স্টোর ব্যবহার করা হয়। মাস্টার কী ঘূর্ণনের সাথে, আমরা টেবিলস্পেস কীগুলিকে একটি একক মাস্টার কী দিয়ে পুনরায় এনক্রিপ্ট করি যা সমস্ত টেবিলস্পেসের জন্য একই। সার্ভার এখন স্টার্টআপে শুধুমাত্র একটি মাস্টার কী গ্রহণ করবে।

এই, অবশ্যই, শুধুমাত্র একটি মনোরম পার্শ্ব প্রতিক্রিয়া. মাস্টার কী রোটেশনের মূল উদ্দেশ্য হল আমাদের সার্ভারকে আরও সুরক্ষিত করা। ভল্ট থেকে মাস্টার কীটি কোনোভাবে চুরি হয়ে গেলে (উদাহরণস্বরূপ, ভল্ট সার্ভার থেকে), চুরি হওয়া কীটিকে অবৈধ করে একটি নতুন মাস্টার কী তৈরি করা এবং টেবিলস্পেস কীগুলি পুনরায় এনক্রিপ্ট করা সম্ভব। আমরা নিরাপদ...প্রায়

আগের একটি নিবন্ধে, আমি কীভাবে একবার টেবিলস্পেস কী চুরি হয়ে গেলে, তৃতীয় পক্ষ ডেটা ডিক্রিপ্ট করতে এটি ব্যবহার করতে পারে সে সম্পর্কে কথা বলেছিলাম। আমাদের ডিস্ক অ্যাক্সেস আছে যে প্রদান. যদি মাস্টার কী চুরি হয়ে যায় এবং আপনার কাছে এনক্রিপ্ট করা ডেটা অ্যাক্সেস থাকে, তাহলে আপনি টেবিলস্পেস কী ডিক্রিপ্ট করতে এবং ডিক্রিপ্ট করা ডেটা পেতে চুরি করা মাস্টার কী ব্যবহার করতে পারেন। আপনি দেখতে পাচ্ছেন, এই ক্ষেত্রে মাস্টার কীটির ঘূর্ণন সাহায্য করে না। আমরা নতুন মাস্টার কী দিয়ে টেবিলস্পেস কী পুনরায় এনক্রিপ্ট করি, কিন্তু ডেটা এনক্রিপ্ট/ডিক্রিপ্ট করতে ব্যবহৃত প্রকৃত কী একই থাকে। অতএব, "হ্যাকার" ডেটা ডিক্রিপ্ট করতে এটি ব্যবহার চালিয়ে যেতে পারে। আগেই ইঙ্গিত দিয়েছিলাম MySQL এর জন্য Percona সার্ভার সত্যিকারের টেবিলস্পেস রি-এনক্রিপশন করতে পারে, শুধু সাধারণ টেবিলস্পেস কী রি-এনক্রিপশন নয়। এই বৈশিষ্ট্যটিকে এনক্রিপশন থ্রেড বলা হয়। যাইহোক, এই কার্যকারিতা এই মুহূর্তে এখনও পরীক্ষামূলক।

যখন মাস্টার কী চুরি হয়ে যায় তখন মাস্টার কী ঘূর্ণন কার্যকর হয়, কিন্তু আক্রমণকারীর পক্ষে এটি ব্যবহার করার এবং টেবিলস্পেস কীগুলি ডিক্রিপ্ট করার কোন উপায় নেই।

একটি বিনামূল্যে ডেমো পাঠের জন্য সাইন আপ করুন.

আরও পড়ুন:

• মাইএসকিউএল-এ এনক্রিপশন: কীস্টোর

• মাইএসকিউএল-এ এনক্রিপশন: মাস্টার কী ব্যবহার করা

উত্স: www.habr.com