- PR -

PostgreSQLのデータ本体の暗号化

1
投稿者投稿内容
miura
会議室デビュー日: 2004/12/27
投稿数: 19
投稿日時: 2005-08-18 19:21
こんばんは。
PostgreSQLに個人情報を入れて、Tomcatからその情報を参照しに行くという環境を構築しています。最悪の事態を考えて、サーバを乗っ取られた時に個人情報を持って行かれたとしても読解不能（暗号化）の形にしておきたいのです。もちろんFWはたてます。今現在は、データベースクラスタに、分散されで保管されていますが、これをもとに復元されるかもしれないと危惧しています。
データ本体の暗号化は別に気にする必要がないのか、またはいい方法があればよろしくお願い致します。

PostgreSQL7.4.5-4
OSは、TurboLinux　10　serverです。
冬寂
ぬし
会議室デビュー日: 2002/09/17
投稿数: 449
投稿日時: 2005-08-18 20:34
引用:

サーバを乗っ取られた時に個人情報を持って行かれたとしても読解不能（暗号化）の形にしておきたいのです。

普段は、言うなれば「miuraさんが乗っ取っている状態」であると思うのですが、
サーバが乗っ取られてしまった状態で情報が読解不能だとしたら、
誰が情報を読み取れるのでしょうか？
甕星
ぬし
会議室デビュー日: 2003/03/07
投稿数: 1185
お住まい・勤務地: 湖の見える丘の上
投稿日時: 2005-08-18 20:49
引用:

miuraさんの書き込み (2005-08-18 19:21) より:
データ本体の暗号化は別に気にする必要がないのか、またはいい方法があればよろしくお願い致します。

その手の処理は、アプリケーションで暗号化した上で、暗号化された文字列をフィールドに格納することで実現します。完全一致検索は出来ますが、部分一致検索や、範囲で絞るような検索は出来なくなるので、設計時に十分な考慮が必要です。もちろんクライアントアプリケーションが乗っ取られたり、暗号鍵が漏洩すれば意味がなくなります。
yuzy
大ベテラン
会議室デビュー日: 2002/02/14
投稿数: 117
投稿日時: 2005-08-19 00:05
Oracle用の商用ソフトのデモを見たことありますが、
ミドルウェアレベルで暗号化するソフトのようでした。

通信、データベースへの格納時に暗号化していたような。
アプリケーションに手はほとんど入れていなかった感じです。
（値段は結構したと思います。）
もちろんそれも、データを見る部分が乗っ取られたらおしまいです。
（復号化した後のデータを盗まれたら、暗号化の意味なし。）

PostgreSQL用のものがあるかどうかはわかりません。
miura
会議室デビュー日: 2004/12/27
投稿数: 19
投稿日時: 2005-08-22 15:22
冬寂さん、甕星さん、yuzyさん、ご返答ありがとうございます。

その後、ネット、書籍で調べましたが、PostgreSQL自体にはデータの暗号化の設定はなさそうなので、ソフトをかませてデータを暗号化することにしたいと思います。ありがとうございました。
1

スキルアップ／キャリアアップ（JOB@IT）