Documentation PostgreSQL 14. 3 » Administration du serveur » Configuration du serveur et mise en place » Options de chiffrement PostgreSQL offre du chiffrement à différents niveaux et offre une certaine flexibilité pour éviter que les données soit révélées à cause d'un vol du serveur de la base de données, d'administrateurs peu scrupuleux et de réseaux non sécurisés. Le chiffrement pourrait aussi être requis pour sécuriser des données sensibles, par exemple des informations médicales ou des transactions financières. Chiffrement du mot de passe Les mots de passe des utilisateurs de la base de données sont stockées suivant des hachages (déterminés par la configuration du paramètre password_encryption), donc l'administrateur ne peut pas déterminer le mot de passe actuellement affecté à l'utilisateur. Si le chiffrage MD5 ou SCRAM est utilisé pour l'authentification du client, le mot de passe non chiffré n'est jamais, y compris temporairement, présent sur le serveur parce que le client le chiffre avant de l'envoyer sur le réseau.
Le client fournit la clé de décryptage et la donnée est décryptée sur le serveur puis elle est envoyée au client. La donnée décryptée et la clé de déchiffrement sont présente sur le serveur pendant un bref moment où la donnée est décryptée, puis envoyée entre le client et le serveur. Ceci présente un bref moment où la données et les clés peuvent être interceptées par quelqu'un ayant un accès complet au serveur de bases de données, tel que l'administrateur du système. chiffrement de la partition de données Le chiffrement du stockage peut se réaliser au niveau du système de fichiers ou au niveu du bloc. Les options de chiffrement des systèmes de fichiers sous Linux incluent eCryptfs et EncFS, alors que FreeBSD utilise PEFS. Les options de chiffrement au niveau bloc ou au niveau disque incluent dm-crypt + LUKS sur Linux et les modules GEOM geli et gbde sur FreeBSD. Beaucoup d'autres systèmes d'exploitation supportent cette fonctionnalité, y compris Windows. Ce mécanisme empêche les données non cryptées d'être lues à partir des lecteurs s'ils sont volés.
La technologie de cryptage de stockage peut empêcher la divulgation de données non cryptées après le vol d'un ordinateur. Cette méthode ne peut pas organiser les attaques après le chargement du système de fichiers, Parce qu'une fois le système de fichiers chargé, Le système d'exploitation offre une vue non chiffrée des données. Malgré tout, Pour pouvoir charger le système de fichiers,. L'utilisateur doit passer la clé de chiffrement au système d'exploitation d'une manière ou d'une autre, Parfois, la clé est stockée sur l'hôte où le disque est chargé. Cryptage de transmission SSL La connexion crypte toutes les données transmises par le réseau, Y compris::Mot de passe、 Instruction de requête et résultats retournés. Le Profil permet à l'Administrateur de spécifier quels hôtes peuvent utiliser des connexions non cryptées (host), Et quels hôtes doivent utiliser SSL Connexion cryptée (hostssl) même temps, Le client ne peut spécifier que par SSL Connexion au serveur. GSSAPI Une connexion cryptée peut crypter toutes les données d'un transfert réseau, Inclure les déclarations de requête et les résultats retournés ( Les mots de passe ne sont pas transmis sur le réseau ).
Ceci ne protège pas contre les attaques quand le système de fichiers est monté parce que, une fois monté, le système d'exploitation fournit une vue non cryptée des données. Néanmoins, pour monter le système de fichiers, vous avez besoin d'un moyen pour fournir la clé de chiffrement au système d'exploitation et, quelque fois, la clé est stocké quelque part près de l'hôte qui monte le disque. chiffrement des mots de passe sur le réseau La méthode d'authentification md5 crypte deux fois le mot de passe sur le client avant de l'envoyer au serveur. Il le crypte tout d'abord à partir du nom de l'utilisateur puis il le crypte à partir d'un élément du hasard envoyé par le serveur au moment de la connexion. Cette valeur, deux fois cryptée, est envoyée sur le réseau au serveur. Le double chiffrement empêche non seulement la découverte du mot de passe, il empêche aussi une autre connexion en utilisant le même mot de passe crypté pour se connecter au serveur de bases de données lors d'une connexion future.
Les options de chiffrement au niveau bloc ou au niveau disque incluent dm-crypt + LUKS sur Linux et les modules GEOM geli et gbde sur FreeBSD. Beaucoup d'autres systèmes d'exploitation supportent cette fonctionnalité, y compris Windows. Ce mécanisme empêche les données non cryptées d'être lues à partir des lecteurs s'ils sont volés. Ceci ne protège pas contre les attaques quand le système de fichiers est monté parce que, une fois monté, le système d'exploitation fournit une vue non cryptée des données. Néanmoins, pour monter le système de fichiers, vous avez besoin d'un moyen pour fournir la clé de chiffrement au système d'exploitation et, quelque fois, la clé est stocké quelque part près de l'hôte qui monte le disque. chiffrement des données sur le réseau Les connexions SSL cryptent toutes les données envoyées sur le réseau: le mot de passe, les requêtes et les données renvoyées. Le fichier permet aux administrateurs de spécifier quels hôtes peuvent utiliser des connexions non cryptées ( host) et lesquels requièrent des connexions SSL ( hostssl).
Cette méthode est très utile pour l'inclusion de données sensibles de l'interrogation des données, Le client fournit la clé de décryptage, Les données sont envoyées au client après le décryptage côté serveur. Les données décryptées et les clés de décryptage sont brièvement présentes dans le serveur pendant le décryptage et le transfert, Ce court laps de temps peut amener les utilisateurs qui ont un accès complet au serveur de base de données ( Par exemple, administrateur système ) Intercepter pour obtenir des données et des clés. Cryptage de stockage Le chiffrement de stockage peut être réalisé au niveau du système de fichiers ou du bloc Les options de chiffrement du système de fichiers incluent eCryptfs Et EncFS, FreeBSD Utiliser PEFS Cryptographie. Les options de chiffrement au niveau du bloc ou du disque entier comprennent Linux Du système d'exploitation dm-crypt + LUKS, Et FreeBSD Du système d'exploitation GEOM Module geli Et gbde. Y compris: Windows Le cryptage est supporté par de nombreux autres systèmes d'exploitation, y compris.
Sécurité des bases de données PostgreSQL PostgreSQL est un système de base de données relationnel-objet très répandu réputé pour sa fiabilité, sa solidité et ses performances. Les clients choisissent cette solution facilement personnalisable pour servir des données pour une vaste gamme de charges de travail, des applications de petite envergure à une machine aux installations d'application Web plus étendues avec un grand nombre d'utilisateurs simultanés. Heureusement, PostgreSQL peut utiliser des magasins de clés de tiers pour une infrastructure PKI entière, permettant de réaliser une gestion centralisée des clés et un chiffrement. Les organisations peuvent se fier au chiffrement des données au repos de Thales pour une sécurité robuste des bases de données qui limite les menaces représentées par les pirates et les utilisateurs privilégiés, tout en répondant à de nombreuses préoccupations en matière de conformité aux réglementations concernant la confidentialité des données. CipherTrust Data Security Platform de Thales offre aux clients une variété de solutions de chiffrement et de tokénisation au niveau du système de fichiers, de la base de données et de l'application pour protéger les données pendant l'intégralité de leur cycle de vie, partout dans l'entreprise.