暗号化で静止状態でMySQLデータを保護します

REST暗号化のMySQLデータは、主に3つのステップで達成されます。1。innodb tablespace暗号化を有効にし、innodb_encrypt_tables = on on and set but but necryption algorithm aes-cbcなどのmy.cnfパラメーターを構成しますが、古いテーブルを手動で移行する必要があります。 2.ファイルシステムレイヤーのデータディレクトリを暗号化し、LUKS、ECRYPTFS、またはAWS EBSなどのクラウドサービスを使用して、ディスクを暗号化し、ログを上書きし、一時ファイルを上書きします。 3.キー管理ポリシーを実装し、AWS KMやハシコープボールトなどの外部KMを使用してキーリークを回避し、マスターキーとテーブルキーを定期的に回転および分離し、単一のキーリークでも全体的なセキュリティに影響しないようにします。

安静時のMySQLデータの暗号化は、実際には、データがディスクに保存されているときなど、アクセスしないときにデータを暗号化および保護することです。このステップは、特に物理デバイスの喪失、不正アクセス、またはコンプライアンス要件に直面している場合に重要です。データベースにユーザー情報、トランザクションレコード、または機密構成がある場合、暗号化しないことは、ドアを開いたままにして、他の人が入るのを待つのと同等です。

以下の側面は、REST暗号化でMySQLデータをセットアップする際にほとんどの人が気にするものです。私はそれらを1つずつ説明します。

1. INNODBテーブルスペースの暗号化を有効にします

MySQLは、5.7以降InnoDBの透明なデータ暗号化（TDE）をサポートしています。つまり、アプリケーションコードを変更する必要がないことを意味します。暗号化を実現するには、構成ファイルに関連するオプションを開くだけです。

操作手順は、ほぼ次のとおりです。

• MySQL EnterpriseやPercona Serverなど、暗号化をサポートするバージョンを使用してください。
• my.cnfでテーブルスペースの暗号化を有効にします：

 [mysqld]
innodb_encrypt_tables = on
innodb_encryption_threads = 4

• AES-CBCなどのデフォルトの暗号化アルゴリズムを設定します。

 innodb_default_encryption_key_id = 1
innodb_tablespaces_encryption = on

注：オンになった後、すべての新しいテーブルは自動的に暗号化されますが、古いテーブルは自動的に暗号化されることはなく、テーブルを手動で再構築する必要があります。

2。データディレクトリとファイルシステムレイヤーを暗号化します

データベースレベルの暗号化に加えて、オペレーティングシステムレベルの暗号化も防御線です。サーバーディスク全体が盗まれるのではないかと心配している場合は、ファイルシステムレイヤーで暗号化することを検討する必要があります。

一般的に使用されるソリューションには以下が含まれます。

• Luks（Linux Unifiedキーセットアップ）を使用して、ディスクパーティション全体を暗号化します。
• ECRYPTFSやZFSなどの暗号化されたファイルシステムを使用します。
• AWS EBS暗号化されたボリュームなど、クラウドサービスプロバイダーが提供するディスク暗号化機能。

この方法の利点は、MySQLに対して完全に透過的であり、あまり多くのパフォーマンスに影響を与えず、ログ、一時ファイル、およびInnoDB暗号化が見逃される可能性のある他の場所など、すべてのデータファイルをカバーできることです。

ただし、注意すべきことの1つは、キーが失われると、データが完全になくなるため、キー管理には特に注意する必要があります。

3.主要な管理ポリシーは無視できません

INNODBであろうとファイルシステムの暗号化であろうと、キー管理は不可欠です。これは行くのに最もやさしい場所です - キーをどこに置くのですか？回転する方法は？バックアップする方法は？

提案されたプラクティス：

• AWS KMS、Hashicorp Vaultなどの外部キー管理サービス（KMS）を使用します。
• 漏れやすいので、キーを構成ファイルに直接書き込まないでください。
• キーを定期的に回転させ、古いキーがまだ履歴データを復号化するために利用できることを確認してください。
• マスターキーとデータを個別に保存して、「すべてのロックのロックを解除するための1つのキー」を避けます。

たとえば、INNODBは「マスターキー」と「テーブルキー」の使用をサポートしています。各テーブルには独自のキーがあり、マスターキーはこれらのテーブルキーを暗号化するために使用されます。このようにして、特定のテーブルキーが漏れていても、すべてのデータに影響しません。

基本的にそれだけです。安静時のデータの暗号化は簡単に思えますが、実際に実装する時が来た場合、特に主要な管理と互換性には多くの詳細があります。このステップを過小評価しないでください。時にはコンプライアンス監査がここに残っています。

以上が暗号化で静止状態でMySQLデータを保護しますの詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。