MySQL의 암호화: 마스터 키 순환

새로운 과정의 시작을 예상하여 "데이터 베이스" 우리는 MySQL의 암호화에 대한 일련의 기사를 계속 게시합니다.

이 시리즈의 이전 기사에서 우리는 논의했습니다. 마스터 키 암호화 작동 방식. 오늘은 앞에서 얻은 지식을 바탕으로 메인 키의 회전에 대해 알아보겠습니다.

마스터 키 순환에는 새 마스터 키를 생성하고 이 새 키로 테이블스페이스 키(테이블스페이스 헤더에 저장됨)를 다시 암호화하는 작업이 포함됩니다.

암호화된 테이블스페이스의 헤더가 어떻게 생겼는지 기억해 봅시다.

이전 기사에서 우리는 서버가 시작할 때 모든 암호화된 테이블스페이스의 헤더를 읽고 가장 큰 KEY ID를 기억한다는 것을 알고 있습니다. 예를 들어 KEY가 있는 세 개의 테이블이 있는 경우ID = 3 및 KEY가 있는 하나의 테이블ID = 4이면 최대 키 ID는 4가 됩니다. 이 KEY ID - MAX KEY ID를 호출하겠습니다.

마스터 키 순환 작동 방식

1. 사용자가 ALTER INNODB MASTER KEY를 실행합니다.

2. 서버는 서버 UUID 및 KEY를 사용하여 새 마스터 키를 생성하도록 키링에 요청합니다.XNUMX 더하기 MAX와 같은 IDKEYID. 따라서 우리는 INNODB와 동일한 마스터 키 ID를 얻습니다.키-UUID-(최대KEY신분증 + 1). 마스터 키가 성공적으로 생성되면 MAX KEY ID가 XNUMX씩 증가합니다(예: MAXKEYID=MAXKEY신분증 + 1).

3. 서버는 마스터 키로 암호화된 모든 테이블스페이스를 스캔하고 각 테이블스페이스에 대해 다음을 수행합니다.

• 새 마스터 키로 테이블스페이스 키를 암호화합니다.

• 키 ID를 새 MAX로 업데이트합니다.KEY신분증;

• UUID가 서버 UUID와 다른 경우 서버 UUID를 업데이트합니다.

아시다시피 테이블 복호화에 사용되는 마스터 키 ID는 UUID와 테이블스페이스 헤더에서 읽은 KEY ID로 구성됩니다. 지금 우리가 하고 있는 일은 서버가 올바른 마스터 키를 받을 수 있도록 테이블스페이스 암호화 헤더에서 이 정보를 업데이트하는 것입니다.

다른 백업과 같이 다른 위치의 테이블스페이스가 있는 경우 서로 다른 마스터 키를 사용할 수 있습니다. 이러한 모든 마스터 키는 서버가 시작될 때 저장소에서 검색해야 합니다. 이로 인해 특히 서버 측 키 저장소가 사용되는 경우 서버 시작 속도가 느려질 수 있습니다. 마스터 키 순환을 통해 모든 테이블스페이스에 대해 동일한 단일 마스터 키로 테이블스페이스 키를 다시 암호화합니다. 이제 서버는 시작 시 하나의 마스터 키만 수신해야 합니다.

물론 이것은 즐거운 부작용 일뿐입니다. 마스터 키 순환의 주요 목적은 서버를 보다 안전하게 만드는 것입니다. 마스터 키가 볼트(예: 볼트 서버)에서 도난당한 경우 새 마스터 키를 생성하고 테이블스페이스 키를 다시 암호화하여 도난당한 키를 무효화할 수 있습니다. 우린 안전해...거의.

이전 기사에서 테이블스페이스 키를 도난당하면 제XNUMX자가 이를 사용하여 데이터를 해독하는 방법에 대해 설명했습니다. 디스크에 대한 액세스 권한이 있는 경우 제공됩니다. 마스터 키를 도난당하고 암호화된 데이터에 액세스할 수 있는 경우 도난당한 마스터 키를 사용하여 테이블스페이스 키를 해독하고 해독된 데이터를 가져올 수 있습니다. 보시다시피 마스터 키의 회전은 이 경우 도움이 되지 않습니다. 새로운 마스터 키로 테이블스페이스 키를 다시 암호화하지만 데이터를 암호화/복호화하는 데 사용되는 실제 키는 동일하게 유지됩니다. 따라서 "해커"는 이를 계속 사용하여 데이터를 해독할 수 있습니다. 앞서 나는 암시했다. MySQL용 Percona 서버 단순한 테이블스페이스 키 재암호화가 아닌 진정한 테이블스페이스 재암호화를 수행할 수 있습니다. 이 기능을 암호화 스레드라고 합니다. 그러나 이 기능은 아직 실험 단계입니다.

마스터 키 회전은 마스터 키를 도난당했을 때 유용하지만 공격자가 이를 사용하여 테이블스페이스 키를 해독할 방법이 없습니다.

무료 데모 레슨에 등록하십시오.

더 읽어보기:

• MySQL의 암호화: 키 저장소

• MySQL의 암호화: 마스터 키 사용

출처 : habr.com