MySQL मा इन्क्रिप्शन: मास्टर कुञ्जी रोटेशन

पाठ्यक्रमको लागि नयाँ भर्ना सुरु हुने प्रत्याशामा "डाटाबेस" हामी MySQL मा एन्क्रिप्शन बारे लेखहरूको श्रृंखला प्रकाशित गर्न जारी राख्छौं।

यस शृङ्खलाको अघिल्लो लेखमा हामीले छलफल गरेका थियौं कसरी मास्टर कुञ्जी इन्क्रिप्सन काम गर्दछ। आज, पहिले प्राप्त ज्ञानको आधारमा, मुख्य कुञ्जीहरूको रोटेशन हेरौं।

मास्टर कुञ्जी रोटेशनमा नयाँ मास्टर कुञ्जी उत्पन्न गर्ने र टेबलस्पेस कुञ्जीहरू (जुन टेबलस्पेस हेडरहरूमा भण्डार गरिएको छ) यो नयाँ कुञ्जीसँग पुन: इन्क्रिप्ट गर्ने समावेश छ।

एन्क्रिप्टेड टेबलस्पेसको हेडर कस्तो देखिन्छ याद गरौं:

अघिल्लो लेखबाट, हामीलाई थाहा छ कि सर्भरले स्टार्टअपमा सबै इन्क्रिप्टेड टेबलस्पेसहरूको हेडरहरू पढ्छ र सबैभन्दा ठूलो KEY ID सम्झन्छ। उदाहरणका लागि यदि हामीसँग KEY सँग तीनवटा टेबलहरू छन्ID = 3 र KEY सँग एउटा तालिकाID = 4, त्यसपछि अधिकतम कुञ्जी ID 4 हुनेछ। यसलाई KEY ID - MAX KEY ID कल गरौं।

कसरी मास्टर कुञ्जी रोटेशन काम गर्दछ

1. प्रयोगकर्ताले ALTER INNODB मास्टर कुञ्जी कार्यान्वयन गर्दछ।

2. सर्भरले सर्भर UUID र KEY सँग नयाँ मास्टर कुञ्जी उत्पन्न गर्न कीरिङलाई अनुरोध गर्दछ।आईडी एक प्लस MAX बराबरKEYID। त्यसैले हामीले INNODB बराबरको मास्टर कुञ्जी आईडी पाउँछौंKEY-UUID- (MAXKEYID + 1)। मास्टर कुञ्जीको सफल उत्पादनमा, MAX KEY ID एकद्वारा बढाइन्छ (अर्थात MAXKEYID=MAXKEYID + 1)।

3. सर्भरले मास्टर कुञ्जीसँग इन्क्रिप्ट गरिएका सबै टेबलस्पेसहरू स्क्यान गर्दछ, र प्रत्येक टेबलस्पेसको लागि:

• नयाँ मास्टर कुञ्जीसँग टेबलस्पेस कुञ्जी इन्क्रिप्ट गर्दछ;

• नयाँ MAX मा कुञ्जी आईडी अपडेट गर्दछKEYआईडी;

• यदि UUID सर्भर UUID भन्दा फरक छ भने, सर्भर UUID अपडेट गर्नुहोस्।

हामीलाई थाहा छ, तालिका डिक्रिप्ट गर्न प्रयोग गरिने मास्टर कुञ्जी ID मा UUID र टेबलस्पेस हेडरबाट पढिएको KEY ID समावेश हुन्छ। हामी अहिले के गर्दैछौं यो जानकारी टेबलस्पेस ईन्क्रिप्शन हेडरमा अद्यावधिक गर्दैछ ताकि सर्भरले सही मास्टर कुञ्जी प्राप्त गर्दछ।

यदि हामीसँग विभिन्न स्थानहरूबाट टेबलस्पेसहरू छन्, जस्तै फरक ब्याकअपहरू, त्यसपछि तिनीहरूले फरक मास्टर कुञ्जीहरू प्रयोग गर्न सक्छन्। सर्भर सुरु हुँदा यी सबै मास्टर कुञ्जीहरू भण्डारबाट पुन: प्राप्त गर्न आवश्यक हुनेछ। यसले सर्भर स्टार्टअपलाई ढिलो गर्न सक्छ, विशेष गरी यदि सर्भर-साइड कुञ्जी भण्डार प्रयोग गरिन्छ। मास्टर कुञ्जी रोटेशनको साथ, हामी टेबलस्पेस कुञ्जीहरूलाई एकल मास्टर कुञ्जीसँग पुन: इन्क्रिप्ट गर्छौं जुन सबै टेबलस्पेसहरूको लागि समान हुन्छ। सर्भरले अब स्टार्टअपमा एउटा मात्र मास्टर कुञ्जी प्राप्त गर्नुपर्छ।

यो, निस्सन्देह, केवल एक सुखद साइड इफेक्ट हो। मास्टर कुञ्जी घुमाउने मुख्य उद्देश्य हाम्रो सर्भरलाई अझ सुरक्षित बनाउनु हो। भल्टबाट मास्टर कुञ्जी चोरी भएको घटनामा (उदाहरणका लागि, भल्ट सर्भरबाट), यो नयाँ मास्टर कुञ्जी उत्पन्न गर्न र टेबलस्पेस कुञ्जीहरू पुन: इन्क्रिप्ट गर्न सम्भव छ, चोरी भएको कुञ्जी अमान्य पार्दै। हामी सुरक्षित छौं...लगभग।

अघिल्लो लेखमा, मैले कसरी टेबलस्पेस कुञ्जी चोरी भएपछि, तेस्रो पक्षले डाटा डिक्रिप्ट गर्न प्रयोग गर्न सक्छ भन्ने बारे कुरा गरेको थिएँ। प्रदान गरिएको छ कि हाम्रो डिस्कमा पहुँच छ। यदि मास्टर कुञ्जी चोरी भएको छ र तपाइँसँग इन्क्रिप्टेड डाटामा पहुँच छ भने, तपाइँ चोरिएको मास्टर कुञ्जी प्रयोग गर्न सक्नुहुन्छ टेबलस्पेस कुञ्जी डिक्रिप्ट गर्न र गुप्तिकरण डाटा प्राप्त गर्न। तपाईं देख्न सक्नुहुन्छ, मास्टर कुञ्जी को रोटेशन यस मामला मा मद्दत गर्दैन। हामीले नयाँ मास्टर कुञ्जीसँग टेबलस्पेस कुञ्जीलाई पुन: इन्क्रिप्ट गर्छौं, तर डाटा इन्क्रिप्ट/डिक्रिप्ट गर्न प्रयोग गरिएको वास्तविक कुञ्जी उस्तै रहन्छ। त्यसकारण, "ह्याकर" ले डाटा डिक्रिप्ट गर्न यसलाई प्रयोग गर्न जारी राख्न सक्छ। यसअघि मैले संकेत गरेको थिएँ MySQL को लागि Percona सर्भर साँचो टेबलस्पेस रि-इन्क्रिप्शन गर्न सक्छ, साधारण टेबलस्पेस कुञ्जी पुन: इन्क्रिप्सन मात्र होइन। यो सुविधालाई इन्क्रिप्शन थ्रेड भनिन्छ। यद्यपि, यो कार्यक्षमता अहिले पनि प्रयोगात्मक छ।

मास्टर कुञ्जी चोरी हुँदा मास्टर कुञ्जी रोटेशन उपयोगी हुन्छ, तर आक्रमणकारीले यसलाई प्रयोग गर्न र टेबलस्पेस कुञ्जीहरू डिक्रिप्ट गर्ने कुनै तरिका छैन।

नि: शुल्क डेमो पाठको लागि साइन अप गर्नुहोस्।

थप पढ्नुहोस्:

• MySQL मा एन्क्रिप्शन: कीस्टोर

• MySQL मा गुप्तिकरण: मास्टर कुञ्जी प्रयोग गर्दै

स्रोत: www.habr.com