Cuánta seguridad es necesaria en una base de datos integrada

septiembre 17

Icono de base de datos con un escudo

El enfoque tradicional para la gestión de datos ha sido tener un motor de base de datos empresarial altamente centralizado que admita miríadas de opciones de seguridad que almacenan datos confidenciales. Con estos motores empresariales, puede elegir entre autenticación, permisos, cifrado y otras opciones para proteger sus datos. Siempre que tenga un administrador de base de datos que comprenda estas opciones y pueda configurarlas correctamente, no tan fácil como parece, sus datos pueden estar protegidos. Sin embargo, los datos comienzan a emerger del centro de datos y se dirigen a los nodos externos de la red.

Muchos de los dispositivos en el nodo externo no ejecutan hardware compatible o capaz de ejecutar un DBMS empresarial completo con su variedad de opciones de seguridad. Estos nodos externos están comenzando a depender de motores de base de datos integrados. Mientras que los motores de base de datos integrados están empezando a parecerse a los sistemas de bases de datos empresariales, no son sistemas de bases de datos empresariales y no deberían ser sistemas de bases de datos empresariales. Este es un hecho que mi colega Randy Merilatt señaló elocuentemente en su artículo "¿Usar SQL en una aplicación informática integrada es como intentar meter un ELEFANTE en un MINI?". ¿Qué debe hacer un desarrollador si tiene datos en una base de datos incrustada que requiere una medida de seguridad?

Un enfoque común de la seguridad de los motores de base de datos integrados ha sido la oscuridad. Una base de datos incrustada normalmente está incrustada en el interior de una aplicación y solo la aplicación tiene alguna visibilidad de los datos almacenados en la base de datos. La seguridad por oscuridad no es efectiva cuando es la única medida de seguridad disponible. Es bastante fácil monitorear la E / S de archivos y determinar en qué parte del sistema de archivos un motor de base de datos integrado está escribiendo datos. Un atacante suficientemente motivado podrá aplicar ingeniería inversa a cualquier formato de archivo de texto claro y aprender a interpretar los datos almacenados. Además, a medida que las bases de datos integradas han adquirido las características de sus hermanos empresariales, han comenzado a permitir el acceso remoto. Con la capacidad de acceder a los datos de forma remota, también se ha introducido la necesidad de autenticación.

RDM tiene la capacidad de proteger el contenido de la base de datos agregando cifrado a nivel de base de datos. La implementación del cifrado en RDM permite tanto la autenticación como la ofuscación, aunque las aplicaciones que no requieren autenticación pueden implementar el cifrado en su aplicación de una manera que no lo requiera. Al comprender que nuestro motor se utiliza en una amplia variedad de aplicaciones que se ejecutan en una amplia variedad de hardware, hemos diseñado la funcionalidad de cifrado para que sea flexible pero enfocada. Proporciona una seguridad sólida para satisfacer las necesidades de las aplicaciones y los dispositivos integrados sin la sobrecarga de recursos humanos y computacionales que requiere un motor empresarial.

Para cumplir con este objetivo, Raima decidió utilizar el cifrado AES para nuestra solución de seguridad de datos. Hay varias razones por las que AES es una buena opción para Raima.

  • Es un algoritmo estándar de la industria y altamente seguro.
  • Permite varios tamaños de clave (128, 192 y 256 bits) para brindar a nuestros clientes la flexibilidad de elegir entre mayor seguridad y mayor rendimiento.
  • Como cifrado de bloque de clave simétrica, el número de bits de entrada coincide con el número de bits de datos cifrados
  • Hay datos de prueba públicos disponibles para validar una implementación de AES
  • Permite a Raima proporcionar un nivel de ofuscación y autenticación.

La implementación de cifrado de Raima proporciona ofuscación de datos al cifrar todos los datos que se escriben en el disco (incluidos los archivos de registro). Incluso si un atacante estuviera monitoreando la E / S de archivos para determinar qué archivos actualiza una aplicación, no hay forma de que pueda interpretar el contenido de esos archivos sin la clave de cifrado correcta. Además de conocer la clave de cifrado correcta, también necesitarían saber exactamente cómo se cifran los archivos. Por motivos de rendimiento y practicidad, los archivos de la base de datos no se cifran en su totalidad, sino que se cifran en fragmentos individuales. Cuando actualiza una fila en una tabla, el motor solo actualiza la parte del archivo que tiene el bloque de cifrado particular donde se almacena la fila. Este nivel de seguridad puede evitar que un atacante realice ingeniería inversa en los archivos de la base de datos para descubrir el contenido, pero no elimina el riesgo de que un atacante use la aplicación para leer los datos o escriba una aplicación con el tiempo de ejecución RDM para leer los datos. Aquí es donde la autenticación juega un papel en la seguridad.

Para crear una base de datos RDM encriptada, se le pide al desarrollador que proporcione una contraseña de encriptación. Este código de acceso se somete a un hash unidireccional para crear una clave de cifrado. Esta clave de cifrado se utiliza para cifrar la clave generada aleatoriamente que se utiliza para cifrar todo el contenido de la base de datos. En pocas palabras, sin el código de acceso original, es imposible leer el contenido de la base de datos. Cualquier aplicación que desee leer una base de datos cifrada debe proporcionar el código de acceso correcto, esto incluye todas las aplicaciones de utilidad RDM, así como cualquier aplicación proporcionada por el desarrollador. Cuando se utiliza una base de datos cifrada, el desarrollador puede estar seguro de que solo los usuarios autorizados tienen acceso a los datos almacenados en la base de datos integrada RDM.

Aprender más sobre Cifrado de Raima

Get notified about new RDM updates

Be the first to know about new Raima Database Manager updates when they go live, use cases, industry trends and more.