Aplicación web y base de datos en el mismo servidor, ¿qué ventajas tiene cifrar los datos de la base de datos?

Question

Aplicación web y base de datos en el mismo servidor, ¿qué ventajas tiene cifrar los datos de la base de datos?

#1 de ilikebeets (1 votos)

1

Si una aplicación web y una base de datos están en el mismo servidor, ¿cuál es el beneficio de seguridad de cifrar los datos de la base de datos? Obviamente, las contraseñas deben ser hash de cualquier manera.

Supongo que si un atacante puede inyectar algún código SQL o de servidor, podría ver los datos de la base de datos. ¿Podría alguien esbozar con mayor precisión las implicaciones de seguridad?

Editar: Para aclarar que estaba hablando de cifrado de datos. El método de encriptación no es determinista, por lo que enc (data1)! = Enc (data1)

web-application webserver databases

pregunta Cyrus 06.02.2015 - 05:19

fuente

1 respuesta

Lea otras preguntas en las etiquetas web-application webserver databases

Implementar la verificación GPG (Bitcoin-OTC) ¿Puede un minero de Bitcoin generar hashes SHA2 en datos arbitrarios?

score 1 · Accepted Answer

Los profesionales:

El cifrado de la base de datos garantizará que, en caso de que se filtren los archivos de la base de datos, el atacante o cualquier otra parte con la que se compartan no puedan acceder a ellos (dado que el atacante tampoco obtuvo la clave / contraseña / privilegios de usuario). Esto significa que si el servidor es robado o si se pierden las copias de seguridad antiguas o si se obtienen los archivos de la base de datos, de lo contrario los datos deberían permanecer confidenciales.

Los contras:

Hay una sobrecarga de rendimiento asociada con el cifrado / descifrado de los datos en la base de datos. Esto depende en gran medida del sistema de base de datos que esté utilizando y del tipo de cifrado. Se puede atribuir al hecho de que todos los conjuntos de datos que se consultan desde la base de datos deben ser descifrados para que puedan ser utilizados por la aplicación web y, de manera similar, todos los datos escritos en la base de datos deben cifrarse. Estas operaciones pueden llevar mucho tiempo, especialmente en grandes conjuntos de datos. Esta sobrecarga de rendimiento puede ser despreciable o significativa dependiendo de su uso y las expectativas de la base de datos.

Las advertencias:

El cifrado de la base de datos no protege los datos que contiene si el vector de ataque es su aplicación web (como el SQLi que mencionó). Su aplicación web accede a la base de datos como un usuario privilegiado que puede descifrar los datos en la base de datos, por lo que cualquier ataque que se ejecute a través de su aplicación web podrá acceder a los datos cifrados. Esto significa que un atacante determinado aún podría extraer todos los datos de su base de datos a través de una vulnerabilidad de SQLi.