🥇सुरक्षा आणि DBMS: सुरक्षा साधने निवडताना तुम्हाला काय लक्षात ठेवणे आवश्यक आहे

माझे नाव डेनिस रोझकोव्ह आहे, मी उत्पादन संघातील गॅझिनफॉर्मसर्व्हिस कंपनीमध्ये सॉफ्टवेअर डेव्हलपमेंटचा प्रमुख आहे जतोबा. कायदे आणि कॉर्पोरेट नियम डेटा स्टोरेजच्या सुरक्षिततेसाठी काही आवश्यकता लागू करतात. तृतीय पक्षांनी गोपनीय माहितीवर प्रवेश मिळवावा असे कोणालाही वाटत नाही, म्हणून कोणत्याही प्रकल्पासाठी खालील मुद्दे महत्त्वाचे आहेत: ओळख आणि प्रमाणीकरण, डेटामध्ये प्रवेश व्यवस्थापित करणे, सिस्टममधील माहितीची अखंडता सुनिश्चित करणे, सुरक्षा इव्हेंट लॉग करणे. म्हणून, मला डीबीएमएस सुरक्षेशी संबंधित काही मनोरंजक मुद्द्यांबद्दल बोलायचे आहे.

येथील भाषणावर आधारित लेख तयार करण्यात आला होता @DatabasesMeetup, आयोजित Mail.ru क्लाउड सोल्यूशन्स. तुम्हाला वाचायचे नसेल तर तुम्ही पाहू शकता:

लेखाचे तीन भाग असतील:

कनेक्शन कसे सुरक्षित करावे.
कृतींचे ऑडिट म्हणजे काय आणि डेटाबेसच्या बाजूला काय घडत आहे ते कसे नोंदवायचे आणि ते कसे जोडायचे.
डेटाबेसमधील डेटाचे संरक्षण कसे करावे आणि यासाठी कोणते तंत्रज्ञान उपलब्ध आहे.

DBMS सुरक्षिततेचे तीन घटक: कनेक्शन संरक्षण, क्रियाकलाप ऑडिटिंग आणि डेटा संरक्षण

तुमचे कनेक्शन सुरक्षित करत आहे

तुम्ही वेब अॅप्लिकेशन्सद्वारे थेट किंवा अप्रत्यक्षपणे डेटाबेसशी कनेक्ट होऊ शकता. नियमानुसार, व्यावसायिक वापरकर्ता, म्हणजेच डीबीएमएससह कार्य करणारी व्यक्ती, अप्रत्यक्षपणे त्याच्याशी संवाद साधते.

कनेक्‍शनचे संरक्षण करण्‍याबद्दल बोलण्‍यापूर्वी, सुरक्षा उपायांची रचना कशी केली जाईल हे निर्धारित करणार्‍या महत्त्वाच्या प्रश्‍नांची उत्तरे तुम्‍हाला देणे आवश्‍यक आहे:

एक व्यावसायिक वापरकर्ता एका DBMS वापरकर्त्याच्या समतुल्य आहे का?
DBMS डेटाचा प्रवेश केवळ तुम्ही नियंत्रित करत असलेल्या API द्वारे प्रदान केला गेला आहे किंवा टेबल्समध्ये थेट प्रवेश केला जात आहे का;
डीबीएमएस वेगळ्या संरक्षित विभागाला वाटप केले आहे की नाही, त्याच्याशी कोण आणि कसे संवाद साधते;
पूलिंग/प्रॉक्सी आणि इंटरमीडिएट लेयर्स वापरले जातात की नाही, जे कनेक्शन कसे बनवले जाते आणि डेटाबेस कोण वापरत आहे याबद्दल माहिती बदलू शकते.

आता कनेक्शन सुरक्षित करण्यासाठी कोणती साधने वापरली जाऊ शकतात ते पाहूया:

डेटाबेस फायरवॉल क्लास सोल्यूशन्स वापरा. संरक्षणाचा अतिरिक्त स्तर, कमीत कमी, DBMS मध्ये काय घडत आहे याची पारदर्शकता वाढवेल आणि जास्तीत जास्त तुम्ही अतिरिक्त डेटा संरक्षण प्रदान करण्यास सक्षम असाल.
पासवर्ड धोरणे वापरा. तुमची वास्तू कशी तयार केली आहे यावर त्यांचा वापर अवलंबून असतो. कोणत्याही परिस्थितीत, डीबीएमएसशी कनेक्ट केलेल्या वेब अनुप्रयोगाच्या कॉन्फिगरेशन फाइलमधील एक पासवर्ड संरक्षणासाठी पुरेसा नाही. अशी अनेक DBMS साधने आहेत जी तुम्हाला वापरकर्ता आणि पासवर्डला अपडेट करणे आवश्यक आहे हे नियंत्रित करण्याची परवानगी देतात.
तुम्ही वापरकर्ता रेटिंग फंक्शन्सबद्दल अधिक वाचू शकता येथे, तुम्ही MS SQL व्हल्नरेबिलिटी असेसमन बद्दल देखील शोधू शकता येथे.
आवश्यक माहितीसह सत्राचा संदर्भ समृद्ध करा. सत्र अपारदर्शक असल्यास, DBMS मध्ये त्याच्या फ्रेमवर्कमध्ये कोण काम करत आहे हे तुम्हाला समजत नाही, तुम्ही, ऑपरेशनच्या फ्रेमवर्कमध्ये, कोण काय आणि का करत आहे याबद्दल माहिती जोडू शकता. ही माहिती ऑडिटमध्ये पाहता येईल.
तुमच्याकडे DBMS आणि अंतिम वापरकर्त्यांमध्ये नेटवर्क वेगळे नसल्यास SSL कॉन्फिगर करा; ते वेगळ्या VLAN मध्ये नाही. अशा परिस्थितीत, ग्राहक आणि डीबीएमएस यांच्यातील चॅनेलचे संरक्षण करणे अत्यावश्यक आहे. सुरक्षितता साधने खुल्या स्त्रोतामध्ये देखील उपलब्ध आहेत.

याचा DBMS च्या कार्यक्षमतेवर कसा परिणाम होईल?

SSL चा CPU लोडवर कसा परिणाम होतो, वेळ वाढवतो आणि TPS कमी होतो आणि तुम्ही ते सक्षम केल्यास ते खूप संसाधने वापरेल का हे पाहण्यासाठी PostgreSQL चे उदाहरण पाहू या.

pgbench वापरून PostgreSQL लोड करणे कार्यप्रदर्शन चाचण्या चालवण्यासाठी एक सोपा प्रोग्राम आहे. हे आदेशांचा एकच क्रम वारंवार, शक्यतो समांतर डेटाबेस सत्रांमध्ये कार्यान्वित करते आणि नंतर सरासरी व्यवहार दराची गणना करते.

SSL शिवाय आणि SSL वापरून 1 चाचणी - प्रत्येक व्यवहारासाठी कनेक्शन स्थापित केले आहे:

pgbench.exe --connect -c 10 -t 5000 "host=192.168.220.129 dbname=taskdb user=postgres sslmode=require 
sslrootcert=rootCA.crt sslcert=client.crt sslkey=client.key"

pgbench.exe --connect -c 10 -t 5000 "host=192.168.220.129 dbname=taskdb user=postgres"

SSL शिवाय आणि SSL वापरून 2 चाचणी - सर्व व्यवहार एकाच कनेक्शनमध्ये केले जातात:

pgbench.exe -c 10 -t 5000 "host=192.168.220.129 dbname=taskdb user=postgres sslmode=require
sslrootcert=rootCA.crt sslcert=client.crt sslkey=client.key"

pgbench.exe -c 10 -t 5000 "host=192.168.220.129 dbname=taskdb user=postgres"

इतर सेटिंग्ज:

scaling factor: 1
query mode: simple
number of clients: 10
number of threads: 1
number of transactions per client: 5000
number of transactions actually processed: 50000/50000

चाचणी निकाल:

SSL नाही
SSL

प्रत्येक व्यवहारासाठी कनेक्शन स्थापित केले जाते

विलंब सरासरी
171.915 मिसे
187.695 मिसे

कनेक्शन स्थापित करण्यासह tps
58.168112
53.278062

कनेक्शन स्थापित करणे वगळून tps
64.084546
58.725846

सीपीयू
24%
28%

सर्व व्यवहार एकाच कनेक्शनमध्ये केले जातात

विलंब सरासरी
6.722 मिसे
6.342 मिसे

कनेक्शन स्थापित करण्यासह tps
1587.657278
1576.792883

कनेक्शन स्थापित करणे वगळून tps
1588.380574
1577.694766

सीपीयू
17%
21%

हलक्या भारांवर, SSL चा प्रभाव मोजमाप त्रुटीशी तुलना करता येतो. हस्तांतरित केलेल्या डेटाचे प्रमाण खूप मोठे असल्यास, परिस्थिती भिन्न असू शकते. जर आम्ही प्रत्येक व्यवहारासाठी एक कनेक्शन स्थापित केले (हे दुर्मिळ आहे, सामान्यतः कनेक्शन वापरकर्त्यांमध्ये सामायिक केले जाते), तुमच्याकडे मोठ्या संख्येने कनेक्शन/डिस्कनेक्शन आहेत, परिणाम थोडा मोठा असू शकतो. म्हणजेच, कार्यक्षमता कमी होण्याचे धोके असू शकतात, तथापि, फरक इतका मोठा नाही की संरक्षणाचा वापर न करणे.

कृपया लक्षात घ्या की तुम्ही ऑपरेटिंग मोड्सची तुलना केल्यास एक मजबूत फरक आहे: तुम्ही एकाच सत्रात किंवा वेगवेगळ्या सत्रांमध्ये काम करत आहात. हे समजण्यासारखे आहे: प्रत्येक कनेक्शन तयार करण्यासाठी संसाधने खर्च केली जातात.

जेव्हा आम्ही ट्रस्ट मोडमध्ये Zabbix कनेक्ट केले तेव्हा आमच्याकडे एक केस होती, म्हणजे, md5 तपासले गेले नाही, प्रमाणीकरणाची आवश्यकता नव्हती. त्यानंतर ग्राहकाने md5 प्रमाणीकरण मोड सक्षम करण्यास सांगितले. यामुळे CPU वर मोठा भार पडला आणि कामगिरी कमी झाली. आम्ही ऑप्टिमाइझ करण्याचे मार्ग शोधू लागलो. समस्येवरील संभाव्य उपायांपैकी एक म्हणजे नेटवर्क निर्बंध लागू करणे, DBMS साठी स्वतंत्र VLAN बनवणे, कोण कुठून कनेक्ट होत आहे हे स्पष्ट करण्यासाठी सेटिंग्ज जोडा आणि प्रमाणीकरण काढून टाका. प्रमाणीकरण सक्षम करताना खर्च कमी करण्यासाठी तुम्ही प्रमाणीकरण सेटिंग्ज देखील ऑप्टिमाइझ करू शकता, परंतु सर्वसाधारणपणे वेगवेगळ्या पद्धतींचा वापर प्रमाणीकरण कार्यक्षमतेवर परिणाम करतो आणि DBMS साठी सर्व्हर (हार्डवेअर) ची संगणकीय शक्ती डिझाइन करताना हे घटक विचारात घेणे आवश्यक आहे.

निष्कर्ष: अनेक उपायांमध्ये, प्रमाणीकरणातील लहान बारकावे देखील प्रकल्पावर मोठ्या प्रमाणात परिणाम करू शकतात आणि जेव्हा हे उत्पादनात लागू केले जाते तेव्हाच हे स्पष्ट होते तेव्हा ते वाईट असते.

कृती ऑडिट

ऑडिट केवळ डीबीएमएस असू शकत नाही. ऑडिट म्हणजे वेगवेगळ्या विभागांमध्ये काय घडत आहे याची माहिती मिळवणे. हे एकतर डेटाबेस फायरवॉल किंवा ऑपरेटिंग सिस्टम असू शकते ज्यावर DBMS बांधले आहे.

व्यावसायिक एंटरप्राइझ लेव्हल डीबीएमएसमध्ये ऑडिटिंगसह सर्व काही ठीक आहे, परंतु ओपन सोर्समध्ये - नेहमीच नाही. PostgreSQL मध्ये काय आहे ते येथे आहे:

डीफॉल्ट लॉग - अंगभूत लॉगिंग;
विस्तार: pgaudit - जर तुमच्यासाठी डीफॉल्ट लॉगिंग पुरेसे नसेल, तर तुम्ही काही समस्या सोडवणाऱ्या वेगळ्या सेटिंग्ज वापरू शकता.

व्हिडिओमधील अहवालात जोडणे:

"मूलभूत विधान लॉगिंग हे log_statement = all सह मानक लॉगिंग सुविधेद्वारे प्रदान केले जाऊ शकते.

हे निरीक्षण आणि इतर वापरांसाठी स्वीकार्य आहे, परंतु सामान्यत: ऑडिटिंगसाठी आवश्यक असलेल्या तपशीलांची पातळी प्रदान करत नाही.

डेटाबेसवर केलेल्या सर्व ऑपरेशन्सची यादी असणे पुरेसे नाही.

ऑडिटरला स्वारस्य असलेली विशिष्ट विधाने शोधणे देखील शक्य असावे.

मानक लॉगिंग वापरकर्त्याने काय विनंती केली ते दर्शविते, तर pgAudit डेटाबेसने क्वेरी कार्यान्वित केल्यावर काय घडले यावर लक्ष केंद्रित करते.

उदाहरणार्थ, ऑडिटरला हे सत्यापित करायचे आहे की एक विशिष्ट सारणी कागदोपत्री देखभाल विंडोमध्ये तयार केली गेली आहे.

हे मूलभूत ऑडिटिंग आणि grep सह एक साधे कार्य असल्यासारखे वाटू शकते, परंतु जर तुम्हाला असे काहीतरी (हेतूपूर्वक गोंधळात टाकणारे) उदाहरण सादर केले गेले असेल तर:

करा$$
सुरू
'टेबल तयार करा' अंमलात आणा || 'ant_table(id int)';
END$$;

मानक लॉगिंग तुम्हाला हे देईल:

LOG: स्टेटमेंट: DO $$
सुरू
'टेबल तयार करा' अंमलात आणा || 'ant_table(id int)';
END$$;

असे दिसून येते की आवडीचे सारणी शोधण्यासाठी काही कोड ज्ञान आवश्यक असू शकते जेथे टेबल डायनॅमिकरित्या तयार केले जातात.

हे आदर्श नाही, कारण फक्त टेबलच्या नावाने शोधणे श्रेयस्कर असेल.

इथेच pgAudit उपयोगी पडते.

त्याच इनपुटसाठी, ते लॉगमध्ये हे आउटपुट तयार करेल:

लेखापरीक्षण: सत्र,33,1,कार्य,करू,,,"डू $$
सुरू
'टेबल तयार करा' अंमलात आणा || 'ant_table(id int)';
समाप्त $$;"
ऑडिट: सत्र,33,2,DDL,तक्ता तयार करा,टेबल,सार्वजनिक.महत्वपूर्ण_टेबल,तक्ता तयार करा महत्वाचे_टेबल (आयडी INT)

केवळ DO ब्लॉकच लॉग केलेले नाही, तर विधान प्रकार, ऑब्जेक्ट प्रकार आणि पूर्ण नावासह CREATE TABLE चा संपूर्ण मजकूर देखील शोधणे सोपे करते.

SELECT आणि DML स्टेटमेंट्स लॉग करताना, pgAudit ला स्टेटमेंटमध्ये संदर्भित प्रत्येक रिलेशनशिपसाठी स्वतंत्र एंट्री लॉग करण्यासाठी कॉन्फिगर केले जाऊ शकते.

विशिष्ट सारणीला स्पर्श करणारी सर्व विधाने शोधण्यासाठी पार्सिंगची आवश्यकता नाही(*) ».

याचा DBMS च्या कार्यक्षमतेवर कसा परिणाम होईल?

पूर्ण ऑडिटिंग सक्षम असलेल्या चाचण्या चालवू आणि PostgreSQL कामगिरीचे काय होते ते पाहू. सर्व पॅरामीटर्ससाठी जास्तीत जास्त डेटाबेस लॉगिंग सक्षम करूया.

आम्ही कॉन्फिगरेशन फाइलमध्ये जवळजवळ काहीही बदलत नाही, सर्वात महत्वाची गोष्ट म्हणजे जास्तीत जास्त माहिती मिळविण्यासाठी डीबग 5 मोड चालू करणे.

postgresql.conf

log_destination = 'stderr'
लॉगिंग_कलेक्टर = चालू
log_truncate_on_rotation = चालू
log_rotation_age = 1d
log_rotation_size = 10MB
log_min_messages = debug5
log_min_error_statement = debug5
log_min_duration_statement = 0
debug_print_parse = चालू
debug_print_rewritten = चालू
debug_print_plan = चालू
debug_pretty_print = चालू
log_checkpoints = चालू
log_connections = चालू
log_disconnections = चालू
log_duration = चालू
log_hostname = चालू
log_lock_wait = चालू
log_replication_commands = चालू
log_temp_files = 0
log_timezone = 'युरोप/मॉस्को'

1 CPU, 2,8 GHz, 2 GB RAM, 40 GB HDD च्या पॅरामीटर्ससह PostgreSQL DBMS वर, आम्ही कमांड वापरून तीन लोड चाचण्या घेतो:

$ pgbench -p 3389 -U postgres -i -s 150 benchmark
$ pgbench -p 3389 -U postgres -c 50 -j 2 -P 60 -T 600 benchmark
$ pgbench -p 3389 -U postgres -c 150 -j 2 -P 60 -T 600 benchmark

चाचणी निकाल:

लॉगिंग नाही
लॉगिंग सह

एकूण डेटाबेस भरण्याची वेळ
43,74 सेकंद
53,23 सेकंद

रॅम
24%
40%

सीपीयू
72%
91%

चाचणी १ (५० कनेक्शन)

10 मिनिटांत व्यवहारांची संख्या
74169
32445

व्यवहार/से
123
54

सरासरी विलंब
405 मिसे
925 मिसे

चाचणी 2 (शक्य 150 सह 100 कनेक्शन)

10 मिनिटांत व्यवहारांची संख्या
81727
31429

व्यवहार/से
136
52

सरासरी विलंब
550 मिसे
1432 मिसे

आकारांबद्दल

DB आकार
2251 एमबी
2262 एमबी

डेटाबेस लॉग आकार
0 एमबी
4587 एमबी

तळ ओळ: संपूर्ण ऑडिट फार चांगले नाही. ऑडिटमधील डेटा डेटाबेसमधील डेटाइतका किंवा त्याहूनही मोठा असेल. DBMS सह काम करताना व्युत्पन्न होणारे लॉगिंगचे प्रमाण ही उत्पादनातील एक सामान्य समस्या आहे.

चला इतर पॅरामीटर्स पाहू:

वेग जास्त बदलत नाही: लॉगिंग न करता - 43,74 सेकंद, लॉगिंगसह - 53,23 सेकंद.
RAM आणि CPU कार्यप्रदर्शनास त्रास होईल कारण तुम्हाला ऑडिट फाइल तयार करण्याची आवश्यकता आहे. हे उत्पादकतेमध्ये देखील लक्षणीय आहे.

कनेक्शनची संख्या वाढत असताना, स्वाभाविकपणे, कार्यप्रदर्शन किंचित खराब होईल.

ऑडिटसह कॉर्पोरेशनमध्ये हे आणखी कठीण आहे:

भरपूर डेटा आहे;
ऑडिटिंग केवळ SIEM मधील syslog द्वारेच नव्हे तर फायलींमध्ये देखील आवश्यक आहे: syslog ला काही घडल्यास, डेटाबेसच्या जवळ एक फाइल असणे आवश्यक आहे ज्यामध्ये डेटा जतन केला जातो;
ऑडिटिंगसाठी, I/O डिस्कवर वाया जाऊ नये म्हणून स्वतंत्र शेल्फ आवश्यक आहे, कारण ते खूप जागा घेते;
असे घडते की माहिती सुरक्षा कर्मचार्यांना सर्वत्र GOST मानकांची आवश्यकता असते, त्यांना राज्य ओळख आवश्यक असते.

डेटा प्रवेश प्रतिबंधित

डेटाचे संरक्षण करण्यासाठी आणि व्यावसायिक DBMS आणि ओपन सोर्समध्ये प्रवेश करण्यासाठी वापरले जाणारे तंत्रज्ञान पाहू या.

आपण सामान्यतः काय वापरू शकता:

एन्क्रिप्शन आणि कार्यपद्धती आणि फंक्शन्सची अस्पष्टता (रॅपिंग) - म्हणजे, वाचनीय कोड वाचण्यायोग्य नसणारी स्वतंत्र साधने आणि उपयुक्तता. खरे आहे, मग ते बदलले जाऊ शकत नाही किंवा परत केले जाऊ शकत नाही. हा दृष्टीकोन कधीकधी डीबीएमएसच्या बाजूने आवश्यक असतो - परवाना प्रतिबंध किंवा अधिकृतता तर्कशास्त्र प्रक्रिया आणि कार्य स्तरावर तंतोतंत कूटबद्ध केले जाते.
पंक्तींद्वारे डेटाची दृश्यमानता मर्यादित करणे (RLS) म्हणजे जेव्हा भिन्न वापरकर्ते एक सारणी पाहतात, परंतु त्यामधील पंक्तींची भिन्न रचना, म्हणजे, पंक्ती स्तरावर एखाद्याला काहीतरी दाखवले जाऊ शकत नाही.
प्रदर्शित डेटा (मास्किंग) संपादित करणे म्हणजे जेव्हा सारणीच्या एका स्तंभातील वापरकर्ते डेटा किंवा फक्त तारांकन पाहतात, म्हणजेच काही वापरकर्त्यांसाठी माहिती बंद केली जाते. तंत्रज्ञान हे ठरवते की कोणत्या वापरकर्त्याला त्यांच्या प्रवेश पातळीच्या आधारावर काय दाखवले जाते.
सुरक्षा डीबीए/अॅप्लिकेशन डीबीए/डीबीए अ‍ॅक्सेस कंट्रोल हे डीबीएमएसमध्येच प्रवेश प्रतिबंधित करण्याबाबत आहे, म्हणजेच माहिती सुरक्षा कर्मचाऱ्यांना डेटाबेस प्रशासक आणि अॅप्लिकेशन अॅडमिनिस्ट्रेटरपासून वेगळे केले जाऊ शकते. ओपन सोर्समध्ये अशी काही तंत्रज्ञाने आहेत, परंतु व्यावसायिक DBMS मध्ये ती भरपूर आहेत. जेव्हा स्वतः सर्व्हरवर प्रवेश असलेले बरेच वापरकर्ते असतात तेव्हा त्यांची आवश्यकता असते.
फाइल सिस्टम स्तरावर फायलींमध्ये प्रवेश प्रतिबंधित करणे. आपण निर्देशिकांना अधिकार आणि प्रवेश विशेषाधिकार देऊ शकता जेणेकरून प्रत्येक प्रशासकास फक्त आवश्यक डेटामध्ये प्रवेश असेल.
अनिवार्य प्रवेश आणि मेमरी क्लिअरिंग - या तंत्रज्ञानाचा वापर क्वचितच केला जातो.
थेट डीबीएमएस वरून एंड-टू-एंड एन्क्रिप्शन हे सर्व्हरच्या बाजूला की व्यवस्थापनासह क्लायंट-साइड एन्क्रिप्शन आहे.
डेटा एन्क्रिप्शन. उदाहरणार्थ, स्तंभीय एन्क्रिप्शन म्हणजे जेव्हा तुम्ही डेटाबेसचा एकल स्तंभ एनक्रिप्ट करणारी यंत्रणा वापरता.

याचा DBMS च्या कार्यक्षमतेवर कसा परिणाम होतो?

PostgreSQL मधील स्तंभीय एन्क्रिप्शनचे उदाहरण पाहू. एक pgcrypto मॉड्यूल आहे, ते तुम्हाला एनक्रिप्टेड स्वरूपात निवडलेल्या फील्ड संचयित करण्यास अनुमती देते. जेव्हा केवळ काही डेटा मौल्यवान असतो तेव्हा हे उपयुक्त आहे. एनक्रिप्टेड फील्ड वाचण्यासाठी, क्लायंट डिक्रिप्शन की प्रसारित करतो, सर्व्हर डेटा डिक्रिप्ट करतो आणि क्लायंटला परत करतो. की शिवाय, कोणीही आपल्या डेटासह काहीही करू शकत नाही.

चला pgcrypto सह चाचणी करूया. चला एनक्रिप्टेड डेटा आणि नियमित डेटासह एक टेबल तयार करूया. खाली सारण्या तयार करण्यासाठी आज्ञा आहेत, पहिल्या ओळीत एक उपयुक्त कमांड आहे - डीबीएमएस नोंदणीसह विस्तार स्वतः तयार करणे:

CREATE EXTENSION pgcrypto;
CREATE TABLE t1 (id integer, text1 text, text2 text);
CREATE TABLE t2 (id integer, text1 bytea, text2 bytea);
INSERT INTO t1 (id, text1, text2)
VALUES (generate_series(1,10000000), generate_series(1,10000000)::text, generate_series(1,10000000)::text);
INSERT INTO t2 (id, text1, text2) VALUES (
generate_series(1,10000000),
encrypt(cast(generate_series(1,10000000) AS text)::bytea, 'key'::bytea, 'bf'),
encrypt(cast(generate_series(1,10000000) AS text)::bytea, 'key'::bytea, 'bf'));

पुढे, प्रत्येक टेबलमधून डेटा नमुना बनवण्याचा प्रयत्न करू आणि अंमलबजावणीच्या वेळा पाहू.

एन्क्रिप्शन फंक्शनशिवाय टेबलमधून निवडणे:

psql -c "timing" -c "select * from t1 limit 1000;" "host=192.168.220.129 dbname=taskdb
user=postgres sslmode=disable" > 1.txt

स्टॉपवॉच चालू आहे.

आयडी | मजकूर1 | मजकूर2
——+——-+——-
1 | 1 | १
2 | 2 | १
3 | 3 | १
...
९९७ | ९९७ | ९९७
९९७ | ९९७ | ९९७
९९७ | ९९७ | ९९७
1000 | 1000 | 1000
(1000 ओळी)

वेळ: 1,386 ms

एनक्रिप्शन फंक्शनसह टेबलमधून निवड:

psql -c "timing" -c "select id, decrypt(text1, 'key'::bytea, 'bf'),
decrypt(text2, 'key'::bytea, 'bf') from t2 limit 1000;"
"host=192.168.220.129 dbname=taskdb user=postgres sslmode=disable" > 2.txt

स्टॉपवॉच चालू आहे.

आयडी | डिक्रिप्ट | डिक्रिप्ट करा
——+——————+————
1 | x31 | x31
2 | x32 | x32
3 | x33 | x33
...
999 | x393939 | x393939
1000 | x31303030 | x31303030
(1000 ओळी)

वेळ: 50,203 ms

चाचणी निकाल:

एनक्रिप्शनशिवाय
Pgcrypto (डिक्रिप्ट)

नमुना 1000 पंक्ती
1,386 मिसे
50,203 मिसे

सीपीयू
15%
35%

रॅम

+ 5%

एन्क्रिप्शनचा कार्यक्षमतेवर मोठा प्रभाव पडतो. एनक्रिप्टेड डेटाच्या डिक्रिप्शन ऑपरेशन्ससाठी (आणि डिक्रिप्शन सहसा तुमच्या तर्कामध्ये गुंडाळलेले असते) महत्त्वपूर्ण संसाधने आवश्यक असल्याने, वेळ वाढल्याचे दिसून येते. म्हणजेच, काही डेटा असलेले सर्व स्तंभ कूटबद्ध करण्याची कल्पना कार्यक्षमतेत घट झाल्यामुळे भरलेली आहे.

तथापि, एन्क्रिप्शन ही चांदीची बुलेट नाही जी सर्व समस्यांचे निराकरण करते. डेटा डिक्रिप्ट आणि ट्रान्समिट करण्याच्या प्रक्रियेदरम्यान डिक्रिप्ट केलेला डेटा आणि डिक्रिप्शन की सर्व्हरवर स्थित आहेत. म्हणून, डेटाबेस सर्व्हरवर पूर्ण प्रवेश असलेल्या एखाद्या व्यक्तीद्वारे कळा रोखल्या जाऊ शकतात, जसे की सिस्टम प्रशासक.

जेव्हा सर्व वापरकर्त्यांसाठी संपूर्ण स्तंभासाठी एक की असते (जरी सर्वांसाठी नाही, परंतु मर्यादित संचाच्या क्लायंटसाठी), हे नेहमीच चांगले आणि योग्य नसते. म्हणूनच त्यांनी एंड-टू-एंड एन्क्रिप्शन करण्यास सुरुवात केली, डीबीएमएसमध्ये त्यांनी क्लायंट आणि सर्व्हर बाजूला डेटा एन्क्रिप्ट करण्याच्या पर्यायांचा विचार करण्यास सुरुवात केली आणि तेच की-वॉल्ट स्टोरेज दिसू लागले - डीबीएमएस वर की व्यवस्थापन प्रदान करणारी वेगळी उत्पादने बाजू

MongoDB मध्ये अशा एन्क्रिप्शनचे उदाहरण

व्यावसायिक आणि मुक्त स्रोत DBMS मध्ये सुरक्षा वैशिष्ट्ये

कार्ये
प्रकार
पासवर्ड धोरण
लेखापरीक्षण
प्रक्रिया आणि कार्ये स्त्रोत कोड संरक्षित करणे
आरएलएस
एनक्रिप्शन

ओरॅकल
व्यावसायिक
+
+
+
+
+

एमएसक्यूएल
व्यावसायिक
+
+
+
+
+

जतोबा
व्यावसायिक
+
+
+
+
विस्तार

पोस्टग्रे एसक्यूएल
फुकट
विस्तार
विस्तार
-
+
विस्तार

मोंगोडीबी
फुकट
-
+
-
-
फक्त MongoDB Enterprise मध्ये उपलब्ध

सारणी पूर्ण होण्यापासून खूप दूर आहे, परंतु परिस्थिती अशी आहे: व्यावसायिक उत्पादनांमध्ये, सुरक्षिततेच्या समस्या बर्याच काळापासून सोडवल्या गेल्या आहेत, मुक्त स्त्रोतामध्ये, नियम म्हणून, काही प्रकारचे अॅड-ऑन सुरक्षिततेसाठी वापरले जातात, अनेक कार्ये गहाळ आहेत. , कधीकधी तुम्हाला काहीतरी जोडावे लागते. उदाहरणार्थ, पासवर्ड धोरणे - PostgreSQL मध्ये बरेच भिन्न विस्तार आहेत (1, 2, 3, 4, 5), जी पासवर्ड धोरणे अंमलात आणतात, परंतु, माझ्या मते, त्यापैकी कोणतीही देशांतर्गत कॉर्पोरेट विभागाच्या सर्व गरजा पूर्ण करत नाही.

आपल्याला आवश्यक असलेली वस्तू कुठेही नसल्यास काय करावे? उदाहरणार्थ, तुम्हाला विशिष्ट DBMS वापरायचा आहे ज्यामध्ये ग्राहकाला आवश्यक असलेली कार्ये नाहीत.

मग तुम्ही थर्ड-पार्टी सोल्यूशन्स वापरू शकता जे भिन्न DBMS सह कार्य करतात, उदाहरणार्थ, Crypto DB किंवा Garda DB. जर आपण देशांतर्गत विभागातील उपायांबद्दल बोलत आहोत, तर त्यांना ओपन सोर्सपेक्षा GOSTs बद्दल चांगले माहिती आहे.

दुसरा पर्याय म्हणजे तुम्हाला जे आवश्यक आहे ते स्वतः लिहा, प्रक्रिया स्तरावर अनुप्रयोगामध्ये डेटा ऍक्सेस आणि एन्क्रिप्शन लागू करा. खरे आहे, GOST सह ते अधिक कठीण होईल. परंतु सर्वसाधारणपणे, तुम्ही आवश्यकतेनुसार डेटा लपवू शकता, तो डीबीएमएसमध्ये ठेवू शकता, नंतर तो पुनर्प्राप्त करू शकता आणि आवश्यकतेनुसार डिक्रिप्ट करू शकता, अगदी अनुप्रयोग स्तरावर. त्याच वेळी, आपण अनुप्रयोगात या अल्गोरिदमचे संरक्षण कसे कराल याचा त्वरित विचार करा. आमच्या मते, हे डीबीएमएस स्तरावर केले पाहिजे, कारण ते जलद कार्य करेल.

हा अहवाल प्रथम सादर करण्यात आला @डेटाबेस मीटअप Mail.ru क्लाउड सोल्युशन्स द्वारे. दिसत видео इतर परफॉर्मन्स आणि टेलिग्रामवरील कार्यक्रम घोषणांचे सदस्यत्व घ्या Mail.ru ग्रुपवर कुबर्नेट्सच्या आसपास.

विषयावर अजून काय वाचायचे:

स्त्रोत: www.habr.com

सुरक्षा आणि DBMS: सुरक्षा साधने निवडताना तुम्हाला काय लक्षात ठेवणे आवश्यक आहे

तुमचे कनेक्शन सुरक्षित करत आहे

याचा DBMS च्या कार्यक्षमतेवर कसा परिणाम होईल?

कृती ऑडिट

याचा DBMS च्या कार्यक्षमतेवर कसा परिणाम होईल?

डेटा प्रवेश प्रतिबंधित

याचा DBMS च्या कार्यक्षमतेवर कसा परिणाम होतो?

व्यावसायिक आणि मुक्त स्रोत DBMS मध्ये सुरक्षा वैशिष्ट्ये

एक टिप्पणी जोडा Отменить ответ