개발자들을 위한 데이터베이스 보안 완전 가이드

밤늦게 릴리즈를 푸시하고 알림을 확인한 후, 개인 레포지토리에서 절대 나가지 shouldn't never의 자격증을 발견했습니다. 그럴 수 있는 이유는 데이터베이스 패스워드였거나, 더 넓은 권한을 가진 클라우드 접근 키였습니다. 그건 문제가 단지 로그인 문제가 아니라는 것입니다. 문제는 데이터베이스 보안이 로그인 문제로만 다루어지고 있기 때문입니다. 그것은 실제 시스템에서 나타나는 문제입니다. 팀은 암호화를 한번만 활성화시키고, 그들이 끝났다고 생각합니다. 백업을 하지만 복원 테스트를 하지 않습니다. 편의를 위해 관리자 서비스 계정을 만들고, 그것이 존재하는 것을 잊습니다. 프로덕션을 잠그고, 스테이징에 고객 데이터의 복사본이 남아있는 것을 잊습니다. 데이터베이스 보안은 모든 것을 다루어야 합니다: 주 데이터베이스, 복제본, 수출, 로그, 백업, 키가 모든 것을 제어하는 것입니다.

That shows up everywhere in real systems. Teams enable encryption once and assume they’re done. They keep backups but never test restore. They create an admin service account for convenience and forget it exists. They lock down production, then leave staging full of copied customer data. If you’re building mobile or web apps, secure database storage has to cover all of it: the primary database, the replicas, the exports, the logs, the backups, and the keys that control the whole thing.

If you’re also working through auth를 위한 다음 앱을 해결하는 중이라면remember that authentication and storage security solve different failure modes. Auth decides who should get in. Storage security limits damage when someone does, or when data leaks through a path you didn’t expect. For teams shipping customer-facing apps, it’s also worth aligning storage decisions with adjacent controls like API 앱 스토어 준수에 대한 보안 표준.

The urgency isn’t theoretical. 2020년 글로벌 데이터 생산량은 64.2 zettabytes로 기록되었으며 2025년까지 180 zettabytes로 증가할 것으로 예상되었습니다. 에 따르면 Edge Delta의 데이터 저장소 요약. 그 규모에서, 안전한 저장은 보안 작업에서 아키텍처로 변합니다.

Table of Contents

• 데이터베이스 보안은 단순히 패스워드를 설정하는 것 이상입니다.
  • 보안은 조용한 경로에서 실패합니다
  • 인증 정보 유출에 대한 방어가 살아남아야 한다
• 데이터베이스 위협 모델을 이해하라
  • 도구가 아닌 자산으로 시작하라
  • 가장 중요한 위협 그룹 세 가지
• 안전한 데이터베이스 저장소의 핵심 원리
  • 데이터를 훔친 경우 암호화가 데이터의 가치를 줄인다
  • 접근 제어가 폭발 반경을 제한한다
  • 감사서가 제어의 실제성을 보여준다
  • 민감한 데이터를 방어할 수 없는 곳에 넣지 않도록 데이터를 최소화하라
• 실용적인 암호화 구현 패턴
  • TDE는 가장 빠른 기본선
  • 응용 프로그램 수준의 암호화는 가장 중요한 field를 보호한다
  • __CAPGO_KEEP_0__는 안전한 안전을 보장합니다.
  • __CAPGO_KEEP_1__ 패턴 비교
• __CAPGO_KEEP_2__ 키와 비밀 관리
  • 팀이 잘못하는 곳
  • 좋은 키 관리가 뭐가 좋을까
• 복원 가능한 백업 및 복구 전략 설계
  • 백업도 자신의 보안 경계를 필요로합니다.
  • 복원 테스트가 진짜 제어입니다.
• 데이터베이스 보안 저장을 위한 개발자 체크리스트
  • 설계
  • 구현
  • 운영
• 자주 묻는 질문
  • 클라우드 제공자 기본 암호화가 충분한가요
  • 암호화가 데이터베이스 성능에 영향을 미치나요
  • 이것은 SQL 및 NoSQL 시스템에 대해 다르나요
  • 토큰화가 암호화와 어떻게 다른가요

데이터베이스 보안은 단순한 비밀번호만으로 충분한가요

비밀번호는 입구를 보호하지만, 인증 정보가 유출되거나 스냅샷이 복사되거나 내부 서비스가 읽어야 할 테이블을 읽는 경우 데이터를 보호하지 못합니다. 따라서 안전한 데이터베이스 저장은 층을 구성해야 합니다.

기존의 정신 모델은 단순했습니다: 데이터베이스를 방화벽 뒤에 두고, 강력한 비밀번호를 요구하고, 외부로부터 멀리 떨어뜨리면 됩니다. 그러나 클라우드 시스템, 모바일 백엔드 및 현대적인 CI/CD PIPELINE에서 이 모델은 깨집니다. 데이터는 서비스 간에 이동하고, 엔지니어는 임시 수출을 생성하고, 분석 작업은 복사본을 생성하고, 백업 시스템은 다른 인프라스트럭처에 복사본을 저장합니다. 공격자는 데이터베이스 엔진을 직접 공격하지 않아도, 키를 훔치거나 API 토큰을 악용하거나, 더 약한 제어를 가진 복제본을 찾으면 됩니다.

보안은 조용한 경로에서 실패합니다

가장 손상이 되는 저장소 실패는 처음에는 드라마틱하지 않습니다. 보통입니다.

• 개발자 편의성이 프로덕션 위험으로 변합니다: 공유된 관리자 인증 정보가 스크립트에 의해 재사용되는데, 이는 회전하면 배포가 깨질 것을 고려하여
• __CAPGO_KEEP_0__ 데이터셋이 통제를 벗어나게 됩니다. 생산 기록이 스테이징으로 복제되어 QA가 버그를 재현할 수 있습니다.
• 백업이 약점이 됩니다. 생산에는 강력한 제어가 있지만 복원 버킷 또는 스냅샷 정책이 없습니다.

실용적인 규칙입니다. 만약 공격자가 읽을 수 있는 데이터와 하나의 자격증만이 사이에 있다면, 보안 저장소가 아니라 단일 취약점이 있습니다.

인증 정보 남용에 대한 방어가 살아남아야 합니다.

Microsoft의 클라우드 지침은 전송 중 및 저장 중 암호화, 최소 권한의 접근 제어, 비정상 활동에 대한 모니터링을 포함한 클라우드 데이터 보안 최적화 방안을 권장합니다. 실제 사고는 종종 유효한 접근 권한을 잘못 사용한 경우에 시작됩니다.실제로 작동하는 것은 지루하고 일관적입니다. 데이터베이스 파일을 암호화하십시오. 연결을 암호화하십시오. 서비스 역할을 분리하십시오. 관리자 권한을 제거하십시오. sensitive한 연산을 로그하십시오. 비정상적인 사용 패턴에 대한 알림을 설정하십시오. 그 중 하나도 이쁘지 않지만 실제 침해를 방지합니다.

실용적인 방법으로 생각하는 것은 물건 보관함입니다. 보관함의 문이 중요합니다. 또한 격리 장치, 카메라 footage, 방문 기록, box를 열 수 있는 사람의 정책이 중요합니다. 보안 데이터 저장소도 마찬가지입니다. 패스워드는 단지 문 앞입니다.

__CAPGO_KEEP_0__

__CAPGO_KEEP_0__

__CAPGO_KEEP_1__

__CAPGO_KEEP_3__ __CAPGO_KEEP_4____CAPGO_KEEP_5__ __CAPGO_KEEP_6____CAPGO_KEEP_7__

__CAPGO_KEEP_8__

__CAPGO_KEEP_9__

__CAPGO_KEEP_10__

1. __CAPGO_KEEP_11__ 예를 들어 프로필, 주문 내역, 결제 관련 메타데이터, 또는 건강 관련 콘텐츠와 같은 것.
2. 인증 정보 예를 들어 비밀번호 해시, 세션 기록, 갱신 토큰, 또는 API 비밀 정보.
3. 운영 데이터 예를 들어 감사 로그, 작업 큐, 관리자 노트, 지원 수출과 같은 것.
4. 복구 자산 예를 들어 스냅샷, 논리적 덤프, 특정 시점 로그, 암호화 키와 같은 것.

그 마지막 항목은 팀이 생각하는 것보다 더 중요합니다. 공격자가 백업을 삭제하거나 복호화 키에 접근할 수 있다면, 복구 스토리가 붕괴됩니다.

가장 중요한 위협 그룹 세 가지

개발자와 함께 사용하는 간단한 모델을 사용하여 세 그룹이 있습니다.

외부 공격자

이것은 사람들이 가장 먼저 생각하는 그룹입니다. SQL 인젝션, 훔친 API 토큰, 누출된 클라우드 자격 증명, 노출된 관리자 패널, 취약한 의존성. 공통된 주제는 데이터에 접근할 수 있는 외부자가 있습니다.

질문할 것들:

• 어플리케이션을 통해 데이터베이스를 간접적으로 조회할 수 있나요?
• 스톨린 서버 인증 정보가 여러 서비스가 필요로 하는 것보다 더 많은 서비스를 읽을 수 있나요?
• 복사한 스냅샷이 독립적으로 읽을 수 있나요?

내부 위협

이것은 악의적인 내부자와 권한이 너무 많은 잘못된 의도 없는 직원도 포함합니다. 지원 엔지니어는 티켓을 해결하기 위해 데이터를 내보내고, 컨트랙터는 로컬 복사본을 유지하고, 플랫폼 관리자는 생산 라인에 접근할 수 있지만 그 JOB이 그것을 필요로하지 않습니다.

이것을 도와주는 것은 역할 기반 접근 권한, 분리된 업무, 감사 기록으로敏感한 읽기 액세스를 가시화하는 것입니다.

고객 기록에 접근한 사람, 언제 접근했는지, 그 접근이 허용된 이유를 알 수 없다면, 데이터베이스 제어는 더 약하다고 보입니다.

의도치 않은 노출

이것은 빠르게 움직이는 팀에서 가장 일반적인 범주입니다. 미설정된 저장소 버킷. 스테이징 환경에 라이브 데이터를 시드합니다. 토큰이나 개인 정보를 포함하는 디버그 로그. 복원된 백업을 낮은 보안 환경에 배치하여 문제 해결을 위해.

의도치 않은 노출이 강력한 저장소 보안이 작동해야 하는 이유입니다. 그것을 하나의 설정으로 해결하지 않습니다. 데이터 분류, 가드레일, 검토, 정기적인 청소로 해결합니다.

안전한 데이터베이스 저장소의 핵심 원칙

A breach rarely comes from one dramatic failure. It usually comes from a chain of ordinary mistakes. A backup is copied to the wrong account. A service gets broader permissions than it needs. An old key stays active for months because rotation kept getting postponed. Secure database storage has to interrupt that chain at several points, and keep doing it as the system changes.

나는 작업을 네 개의 기둥으로 그룹화합니다: 암호화, 접근 제어, 감사, 최소화. 백업과 복구도 중요하지만, 복원된 데이터가 새로운 노출 경로가 될 수 있기 때문에 운영 처리에 별도의 처리가 필요합니다.

데이터가 훔쳐진 경우 암호화는 그 가치를 줄입니다.

암호화는 시간을 벌고 영향을 줄입니다. someone이 disk snapshot, raw backup file, 또는 internal network에서 traffic을 가져오면, 암호화된 데이터는 고객 기록으로 변환하기가 훨씬 어려워집니다.

암호화된 데이터는 디스크 파일, 스냅샷, 백업 아티팩트를 보호합니다. 연결된 애플리케이션 서버, 프록시, 데이터베이스 엔진 간의 연결은 TLS로 보호됩니다. NIST는 스토리지 암호화 및 전송 보호에 대한 지침에서 두 가지 제어를 다룹니다. SP 800-111 및 관련 데이터-아트-레스트 권장 사항.

The trade-off is operational, not theoretical. Encryption only helps if key handling is separate from the data path and maintained over time. Envelope encryption works like a building master key and a locked office key. A key management service protects the master key, and that master key encrypts short-lived data keys used for actual records or files. That design limits exposure during rotation and makes it easier to revoke or replace key material without rewriting everything at once.

팀은 암호화가 활성화된 후에 더 이상 진행하지 않으면 문제를 일으킨다. 키가 어디에 저장되어 있는지, 누구에게 사용할 수 있는지, 키 회전이 예약되어 있는지, 그리고 잊혀진 키 버전이 여전히 이전 백업에 의존하는지 확인해야 한다.

접근 제어는 폭파 반경을 제한한다.

권한은 조직 차트에 따라서 아니라 애플리케이션 경계를 따라야 한다.

체크아웃 API에 대한 데이터베이스 역할은 급여 데이터를 읽을 수 없어야 한다. 배경 작업자는 초기 마이그레이션 시 편리했지만 스키마 변경 권한을 가지고 있으면 안된다. 지원 도구는 필터링된 뷰 또는 승인된 프로시저를 사용하여 넓은 테이블 접근 대신 사용해야 한다.

실용적인 모델은 다음과 같다.

• 웹 앱 역할: 사용자 요청에 뒤따르는 테이블에 대한 읽기 및 쓰기 권한이 제한된다.
• 작업자 역할: 작업자가 실행하는 작업에 필요한 레코드에 대한 접근 권한이 있다.
• 분석 역할: 수집된 데이터셋에 직접 식별자가 제거된 경우에만 읽기 전용 접근 권한이 있다.
• Break-glass admin role: 단기 승인된 강력한 로깅 및 검토와 함께.

이 기둥은 데이터 변환과 pair 될 때 더 강해집니다. 팀이 masked 또는 reduced 데이터로 작업할 수 있다면, 그 버전을 full production values 대신 제공하는 것이 좋습니다. 규제된 건강 데이터의 경우 PHI의 de-identification 유용한 접근과 불필요한 노출의 차이입니다.

데이터베이스 주변의 비밀은 동일한 discipline을 deserve합니다. CI 로그, 모바일 빌드, 또는 지원 스크립트에 machine 인증서를 퍼뜨리지만 저장소 제어를 강화하는 팀은 여전히 공격 경로가 넓습니다. 동일한 운영 습관이 mobile 앱과 백엔드 서비스의 trust 경계를 공유할 때도 applies. API 키 보안은 앱 스토어 준수에 특히 중요합니다.,

감사 결과가 제어의 실제 여부를 보여줍니다.

증명할 수 없는 정책은 단순히 희망입니다.

사고 시에 중요한 질문에 대한 답을 제공하는 감사 기록은 공격 경로를 노출합니다. 어떤 식별자가 레코드를 읽었는지. 어떤 역할이 권한을 변경했는지. 어떤 수출 작업이 데이터를 이동했는지. 어떤 키가 암호화된 아카이브를 해독했는지. 또한 느린 drift를 노출합니다. 예를 들어, 서비스 계정은 이전에 필요하지 않은 테이블에 접근하기 시작했습니다.

유용한 감사 범위는 일반적으로 다음을 포함합니다.

• __CAPGO_KEEP_0__ : __CAPGO_KEEP_0__ : 로그인 성공, 로그인 실패, 토큰 사용, 및 관리자 세션.
• __CAPGO_KEEP_0__ : __CAPGO_KEEP_0__ : 권한 부여, 권한 취소, 역할 생성, 정책 편집, 및 스키마 변경.
• __CAPGO_KEEP_0__ : __CAPGO_KEEP_0__ : bulk read, 대량 내보내기, 이상한 쿼리 경로, 및 예상 시간 또는 네트워크 외부 접근.
• __CAPGO_KEEP_0__ : __CAPGO_KEEP_0__ : 키 생성, 키 회전, 암호화 실패 시도, 비활성화된 버전, 및 KMS 또는 비밀 저장소의 정책 변경.

로그 보존과 검토가 중요합니다. 만약 로그가 만료되기 전에誰도 조사하지 못한다면, 또는有人은 이미 침해가 발생한 경우에만 권한 변경을 확인한다면, 감사 시스템은 이론적으로만 존재합니다.

__CAPGO_KEEP_0__ :

敏感 데이터를 잘 지키는 것이 중요합니다. 잘 지키지 못하는 곳에 데이터를 넣지 마세요.

최소화는 많은 팀이 가장 적은 엔지니어링 노력으로 얻을 수 있는 가장 큰 보안 승리입니다.

Store less. Keep it for less time. Copy it to fewer places. If a feature only needs age range, do not store full birth date. If support only needs the last four characters of an identifier, avoid exposing the full field. If test environments do not need live personal data, do not restore production backups into them and call it temporary.

이것도 운영 방식입니다. 보존 일정은 강제되야 합니다. 이전 백업은 삭제해야 합니다. 다운스트림 시스템은 검토해야 합니다. 왜냐하면 sensitive field가 search index, 캐시, 데이터 레이크, 모바일 저장소, ad hoc CSV 파일에 복제될 때마다 위험성이 증가하기 때문입니다. Capacitor 앱의 경우 @capgo/capacitor-data-storage-sqlite 그리고 @capgo/capacitor-fast-sql 는 암호화된 앱 내부 저장소를 제공할 수 있지만 여전히 지역 저장소에 저장되지 않아야 하는 항목을 결정해야 합니다.

이러한 기둥의 목적은 첫 번째 날에 완벽함이 아닌, 키 회전, 직원 변경, 사고 대응, 백업 복원, 제품 성장과 같은 상황에서 저장 시스템이 방어할 수 있는지 여부입니다. 보안 데이터베이스 저장은 성공하거나 실패하는 데 여기서 성공하거나 실패합니다.

암호화 패턴의 실용적인 구현 방법

모든 시스템에 하나의 암호화 패턴이 없다는 것입니다. 올바른 선택은 무엇을 보호하고, 누구에게 쿼리할 수 있고, 팀이 지원할 수 있는 복잡도에 달려 있습니다. 실수는 가장 강력한 sounding 패턴을 선택하고 나서 그것을 나쁘게 구현하는 것입니다.

TDE는 가장 빠른 기본선

Transparent Data Encryption, or TDE,는 일반적으로 가장 쉬운 곳에서 시작합니다. 데이터베이스 엔진은 디스크에 파일을 암호화하고 엔진이 메모리에 읽을 때 암호화된 파일을 복호화합니다. 애플리케이션은 종종 code 변경이 필요하지 않습니다.

This is a strong baseline for:

• 전체 데이터베이스 보호
• 저장소 수준의 준수 요구 사항
• 스톨린 디스크, 스냅샷 또는 raw file 접근으로부터의 위험 감소

TDE는 모든 것을 보호하지 않습니다. 공격자가 유효한 데이터베이스 접근 권한을 얻으면 엔진은 여전히 복호화된 데이터를 제공합니다. 그 이유는 TDE가 저장소 위협에 도움이 되지만, 유효한 자격증명을 남용하는 경우가 아니면 엔진이 복호화된 데이터를 제공하지 않기 때문입니다.

응용 프로그램 수준의 암호화는 가장 중요한 필드를 보호합니다

응용 프로그램 수준의 암호화는 데이터가 데이터베이스에 도달하기 전에 발생합니다. code가 선택한 필드를 암호화하고 ciphertext를 저장소에 기록합니다. 특히-sensitive 열(예: 정부 ID, 은행 정보, 복구 비밀, 개인 노트 등)과 같은 경우 잘 작동합니다.

그런 추가 제어는 거래를 수반합니다:

• 복잡성이 더 많습니다: 키 선택, 암호화 라이브러리, 회전 동작 및 오류 처리.
• 쿼리하기가 어려워집니다: 정확한 매치, 부분 검색 및 인덱싱이 디자인 문제가 됩니다.
• 개발자는 discipline이 필요합니다: 이동 스크립트에서 단 하나의 단축키가 모델 전체를 무력화 시킬 수 있습니다.

간단한 pseudocode 패턴은 다음과 같습니다:

데이터를 안전한 곳에 보관하는 방법입니다. 데이터를 하나의 키로 암호화하고, 그 키를 다른 키로 암호화하여 더 안전한 곳에 보관하는 것입니다. secure storage for offline tokens in Capacitor.

데이터를 안전한 곳에 보관하는 방법입니다. 데이터를 하나의 키로 암호화하고, 그 키를 다른 키로 암호화하여 더 안전한 곳에 보관하는 것입니다.

데이터를 안전한 곳에 보관하는 방법입니다. 데이터를 하나의 키로 암호화하고, 그 키를 다른 키로 암호화하여 더 안전한 곳에 보관하는 것입니다.

데이터를 안전한 곳에 보관하는 방법입니다. 데이터를 하나의 키로 암호화하고, 그 키를 다른 키로 암호화하여 더 안전한 곳에 보관하는 것입니다.

데이터를 안전한 곳에 보관하는 방법입니다. 데이터를 하나의 키로 암호화하고, 그 키를 다른 키로 암호화하여 더 안전한 곳에 보관하는 것입니다.

1. 데이터를 안전한 곳에 보관하는 방법입니다. 데이터를 하나의 키로 암호화하고, 그 키를 다른 키로 암호화하여 더 안전한 곳에 보관하는 것입니다. 데이터를 안전한 곳에 보관하는 방법입니다. 데이터를 하나의 키로 암호화하고, 그 키를 다른 키로 암호화하여 더 안전한 곳에 보관하는 것입니다.
2. 데이터를 안전한 곳에 보관하는 방법입니다. 데이터를 하나의 키로 암호화하고, 그 키를 다른 키로 암호화하여 더 안전한 곳에 보관하는 것입니다. 데이터를 안전한 곳에 보관하는 방법입니다. 데이터를 하나의 키로 암호화하고, 그 키를 다른 키로 암호화하여 더 안전한 곳에 보관하는 것입니다.
3. 데이터 키를 __CAPGO_KEEP_0__에 마스터 키를 사용하여 감싸세요. KMS 또는 HSM에서 마스터 키를 사용하여 데이터 키를 감싸세요.
4. 기록 또는 객체와 함께 암호화된 데이터 키와 wrapping 키 메타데이터를 저장하세요. 인가된 읽기 중에만 unwrap하세요.
5. Field advice:.

강력한 마스터 키를 모든 애플리케이션 서버에 노출하지 않고 강력한 격리화를 필요로 할 때 envelope encryption을 사용하세요. 이 패턴은 성능과 제어를 균형을 맞추기 때문에 일반적입니다. 애플리케이션은 실제 암호화 작업에 사용되는 짧은 수명 데이터 키를 사용하며, KMS 또는 HSM은 wrapping 및 unwrapping을 위해 사용되는 마스터 키를 보호합니다.

암호화 패턴 비교

패턴

실용적인 규칙은 간단합니다. TDE 또는 관리 중인 휴지 상태 암호화와 같은 강력한 기본선을 시작하고, 데이터 민감도 및 위협 모델이 추가 엔지니어링을 정당화하는 경우에만 field-level 또는 envelope 암호화를 추가하세요.

키 및 비밀 관리

침해는 일반적인 비밀 처리 실수로 시작합니다. 프로덕션 데이터베이스가 암호화되어 있고 백업이 존재하고, 접근이 종이로 제어되는 것처럼 보입니다. 그런 다음 CI 작업이 로그에 토큰을 출력하거나, 엔지니어가 지원 스크립트를 위해 관리자 자격 증명을 재사용하거나, 팀이 생성한 키가 이미 옮겨진 후에도 오래된 키가 활성화된 채로 남아 있는 경우가 있습니다.

이는 키 및 비밀 관리가 운영 실천이 아닌 설정 작업이 아니라는 것을 의미합니다.

잘못 관리된 키로 암호화된 데이터베이스는 서버 룸에 열쇠가 걸려 있는 것과 같습니다. 접근 자격 증명이 문에 걸려 있습니다. 정부 지침도 같은 점을 강조합니다. 암호화만으로는 KMS 또는 HSM 기반 키 관리, 최소 권한 접근, 복구 계획을 생략하는 팀이 존재하는 경우에만 격차를 메울 수 있습니다. NSA와 파트너의 클라우드 데이터 보안 지침.

팀이 이 부분을 잘못하는 경우

The patterns are familiar in incident reviews:

• 소스코드에 code: 직접 입력한 인증 정보, 임베디드 인증서, 또는 점차적으로 프로덕션 의존성으로 변하는 유틸리티 스크립트.
• 복사한 설정 파일에 있는 비밀: 컴퓨터를 옮길 때 파일을 전달하거나 공유 폴더에 저장하거나 급히 고치기 위해 커밋하는 파일.
• 권한이 약한 환경 변수: 편리하지만, 빌드 로그, 셸 히스토리, 크래시 리포트, 또는 광범위한 런타임 권한을 통해 노출되는 경우가 많다.
• 회전에 대한 책임이 없는 키: 키가 몇 년 동안 존재하는 이유는 어떤 팀도 재발급, 배포, 롤백 계획을 소유하지 않기 때문이다.
• 공유된 고등 권한의 비밀: 응용 프로그램, 엔지니어, 및 자동화가 사용하는 하나의 인증 정보로, 감사 및 격리하는 것이 훨씬 더 어렵다.

앱 및 인프라 비밀을 저장하는 방법을 표준화하는 경우, 비밀을 처리하는 데 있어 실용적인 참고 자료 __CAPGO_KEEP_0__ 환경 변수를 안전하게 관리하는 방법 __CAPGO_KEEP_0__ 환경 변수를 안전하게 관리하는 방법은 팀이 임의의 비밀 정보 분산을 피할 수 있도록 도와줍니다.

좋은 키 관리 방법

__CAPGO_KEEP_0__를 사용하세요. 중앙 집중식 정책, 접근 제어, 감사 로그, 예약된 회전이 사용자 정의 하드웨어 제어보다 더 중요할 때 사용하세요. __CAPGO_KEEP_1__를 사용하세요. 위험, 규정 준수 요구 사항, 서명 및 키 보호 규칙이 전용 하드웨어 경계를 정당화할 때 사용하세요. 많은 팀이 __CAPGO_KEEP_1__를 모든 곳에서 사용할 필요가 없습니다. 그들은 시스템이 암호 해독 작업을 요청할 수 있는 시스템, 정책을 변경할 수 있는 인간, 그리고 이러한 작업이 검토되는 방법에 대한 명확한 규칙이 필요합니다. __CAPGO_KEEP_0__ 암호화는 좋은 정신 모델입니다. 애플리케이션은 암호화 작업을 위해 단기적인 데이터 키를 처리합니다. 보관함 키는 __CAPGO_KEEP_0__ 또는 __CAPGO_KEEP_1__에 머물며, 접근이 엄격하게 제한됩니다. 실제 사고를 방지하는 제어가 작동합니다. __CAPGO_KEEP_0__을 일정한 주기로 실행할 수 있는 일정에 따라 키를 회전하세요. __CAPGO_KEEP_0__은 해킹된 키의 유용한 수명을 줄지만, 애플리케이션, 작업, 복원 작업이 이후에도 작동할 수 있는 경우에만.

__CAPGO_KEEP_0__는 __CAPGO_KEEP_1__보다 __CAPGO_KEEP_2__에 더 집중해야 합니다. __CAPGO_KEEP_2__는 __CAPGO_KEEP_1__의 __CAPGO_KEEP_3__에 더 집중해야 합니다. __CAPGO_KEEP_1__는 __CAPGO_KEEP_0__의 __CAPGO_KEEP_4__에 더 집중해야 합니다.

__CAPGO_KEEP_0__는 __CAPGO_KEEP_5__에 더 집중해야 합니다. __CAPGO_KEEP_5__는 __CAPGO_KEEP_6__에 더 집중해야 합니다. __CAPGO_KEEP_6__는 __CAPGO_KEEP_7__에 더 집중해야 합니다.

• __CAPGO_KEEP_0__는 __CAPGO_KEEP_8__에 더 집중해야 합니다. __CAPGO_KEEP_8__는 __CAPGO_KEEP_9__에 더 집중해야 합니다. __CAPGO_KEEP_9__는 __CAPGO_KEEP_10__에 더 집중해야 합니다. __CAPGO_KEEP_0__는 __CAPGO_KEEP_11__에 더 집중해야 합니다. __CAPGO_KEEP_11__는 __CAPGO_KEEP_12__에 더 집중해야 합니다.
• 업무를 분리하십시오: 고객 데이터를 읽는 서비스는 키 정책을 변경하거나 로깅을 비활성화할 수 없어야 합니다.
• _sensitive한 키 이벤트를 로깅하십시오: 키 생성, 회전, 암호화 요청, 접근 실패 시도 및 정책 변경이 모두 표시되어야 합니다.
• 재 암호화 경로를 테스트하십시오: wrapping key를 회전하는 것은 일반적으로 애플리케이션 데이터를 재 암호화하는 것보다 쉽지만, 두 가지 모두 롤백 단계와 백업 단계가 필요합니다.
• 기존 비밀을 의도적으로 비활성화하고 폐기하십시오: 이전 인증서를 제거하기 위해 시간을 남겨두고, 이후에 스태일 인증서가 조용한 백도어가 되지 않도록 하십시오.

CI/CD는 프로덕션 런타임과 같은 discipline을 deserves합니다. 빌드 시스템은 넓은 접근 권한과 약한 가시성을 가지고 있기 때문에, 비밀 누출의 일반적인 장소입니다. 이에 대해 진지하게 생각하는 팀들은 일반적으로 CI/CD pipeline에서 비밀 관리를 formalize합니다. pipeline 인증서를 임시 예외로 다루지 말고, 대신 CI/CD pipeline에서 비밀 관리를 formalize합니다. 단 하나의 규칙이 있습니다. 애플리케이션 __CAPGO_KEEP_0__은 신뢰할 수 있는 시스템에서 암호화 연산을 요청해야 하며, 환경 내에서 raw master 키를 가지고 다니지 않아야 합니다.

One rule is simple. Application code should request cryptographic operations from trusted systems, not carry raw master keys around the environment.

The __CAPGO_KEEP_0__ is not as strong as you think once a developer, pipeline, or support tool can copy the master key into the wrong place.

생산 환경을 위한 강력한 백업 및 복원 전략 설계

백업은 안전한 데이터베이스 저장소의 일부입니다. 만약 생산 환경이 보호되어 있으면 백업이 보호되지 않은 경우 공격자는 더 쉬운 경로를 선택합니다.

Independent storage guidance recommends keeping backup and recovery systems at the same protection level as production because ransomware and malware incidents often leave secure, tested backups as the only viable recovery path, according to Hypertec의 안전한 데이터 저장소 지침.

백업은 자신의 보안 경계를 필요로 합니다.

강력한 백업 설계는 몇 가지 속성을 가집니다.

• 백업은 전송 중 및 저장 중 암호화됩니다.
• 백업 자격 증명은 생산 자격 증명과 분리됩니다.
• 삭제 및 보존 제어는 일반 앱 접근보다 더 어렵습니다.
• 복원 대상은 약한 제어가 있는 그림자 생산 환경이 되지 않습니다.

일반적인 실패 모드는 암호화된 백업을 저장하는 것입니다. 그러나 동일한 손상된 생산 역할이 삭제할 수 있도록 허용합니다. 다른 것은 임시 환경으로 복원하는 것입니다. 이 환경에는 광범위한 엔지니어 접근 권한이 있고 로깅이 없습니다. 복원 경로는 주요 경로와 같은 심사에 적합합니다.

실제 제어는 테스트 복원입니다.

테스트되지 않은 백업은 단순히 희망적인 저장소입니다.

복원에 잘 대응하는 팀은 단순히 백업 작업이 완료되었는지 확인하는 것만으로는 충분하지 않습니다. 그들은 복원 작업이 작동하는지, 복원된 데이터가 사용 가능한지, 필요할 때 암호화 키, 연결 설정 및 종속 서비스가 모두 일치하는지 증명합니다.

실용적인 복원 프로그램에는 다음과 같은 요소가 포함됩니다.

1. 정기적인 복원 훈련 격리된 환경으로
2. 데이터베이스 복원 후 애플리케이션 기능 확인 파일 복원만 확인하는 것이 아닌
3. 암호화된 백업이 복원될 수 있도록 암호 키 사용 가능성 확인 복원된 시스템에 대한 접근 검토
4. 사고 시敏감데이터가 널리 공개되지 않도록 to prevent sensitive data from becoming broadly visible during an incident.

백업만으로는 당신을 구하지 못합니다. 성공적인 복원만이 당신을 구합니다.

만약 백업 생성만 테스트하고 실제로 복원 테스트를 하지 않는다면, 당신은 복구 전략을 검증하지 못했습니다. 파일이 누군가의 장소에 쌓일 수 있다는 것을 검증했습니다.

보안 데이터베이스 저장을 위한 개발자 체크리스트

이 체크리스트는 디자인 리뷰, 릴리즈 리뷰, 그리고 사후 사고 정리 시 팀이 사용해야 하는 체크리스트입니다.

설계

• _sensitive field_을 명확하게 식별했습니까?: 개인 데이터, 인증 자료, 금융 기록, 그리고 보존 규칙에 따라야 하는 모든 것들.
• 저장하지 말아야 하는 field를 결정했습니까?: 필요하지 않은 field, 그리고 다운스트림 팀이 피할 수 있는 복사본들.
• 데이터가 어디서 살아갈지 매핑했습니까?: 생산, 스테이징, 로그, 수출, 분석 시스템, 백업, 그리고 클라이언트 장치들.

구현

• 데이터는 __CAPGO_KEEP_0__에서 __CAPGO_KEEP_0__로 암호화되어 있는가: __CAPGO_KEEP_0__, 복제본, 백업 경로에 대해
• 응용 프로그램 및 서비스 역할은 엄격하게 범위가 지정되어 있는가: 일반 앱 트래픽을 위해 슈퍼 사용자 공유가 없는가.
• 비밀과 암호화 키는 code와 느슨한 구성 외부에서 처리되는가: 통제된 접근 및 감사 가능성과 함께.
• 敏感한 접근 및 특권 변경이 로그되는가: 방어자들이 쿼리할 수 있는 중앙 장소에서.

운영

• 키 회전 및 비밀 검토는 정상적인 운영의 일부인가: 연간의 혼란이 아닌가.
• Do we regularly test restore: 복원 시스템에서 암호화, 애플리케이션 시작, 및 접근 검토를 포함하여.
• Do we continuously audit data sprawl: 개발 세트, 지원 수출, 개발 데이터 세트, 그리고 잊혀진 백업 위치를 포함하여 스테이징 복사본.

좋은 보안 데이터베이스 저장소는 프로젝트 단계가 아니라 반복적인 학문입니다.

자주 묻는 질문

클라우드 제공업체 기본 암호화가 충분한가요

기본 암호화는 저장 매체 및 관리 서비스를 보호하지만, 권한이 과도한 접근, 복사된 데이터 세트, 약한 백업 제어, 또는 나쁜 키 관리를 해결하지는 않습니다.

암호화가 데이터베이스 성능에 영향을 미치나요

때때로, yes. 패턴에 따라 영향이 달라집니다. 인프라 및 데이터베이스 수준 암호화는 일반적으로 애플리케이션 복잡성을 줄입니다. field-level 암호화는 선택된 데이터에 대한 더 강한 제어가 있지만 인덱싱, 필터링, 및 검색을 복잡하게 할 수 있습니다. 작업 부하에 대한 측정치를 취하기 전에 광범위한 배포를 시작하기 전에.

이것은 SQL 및 NoSQL 시스템과 다르나요

원칙은 동일합니다. 암호화, 최소 권한, 감사, 키 관리, 및 테스트된 복원 필요합니다. 구현 세부 사항은 문서 저장소, 키-값 저장소, 및 관계형 시스템이 다른 접근 모델 및 쿼리 동작을 노출하기 때문에 다릅니다.

How is tokenization different from encryption

__CAPGO_KEEP_0__는 __CAPGO_KEEP_1__와 Electron 앱에 빠른 수정을 제공하는 데 도움이 됩니다. signed web bundle delivery, rollout controls, rollback protection, 및 release observability를 제공합니다. Storage, auth, 또는 __CAPGO_KEEP_2__ 오류로 인해 발생하는 클라이언트 측 수정을 빠르게 배포해야 하는 경우

Capgo helps teams ship fixes to Capacitor and Electron apps quickly, with signed web bundle delivery, rollout controls, rollback protection, and release observability. If your incident response plan depends on getting client-side fixes out fast after a storage, auth, or API mistake, Capgo __CAPGO_KEEP_0__