Sécuriser vos données avec Actian Vector, partie 5

Les précédents articles de blog de cette série expliquaient les concepts de "chiffrement au repos" et les différentes clés de chiffrement utilisées à cet effet. Avec toutes ces clés en jeu, la question est : " Comment ces clés peuvent-elles et doivent-elles être gérées ? " Heureusement, dans Actian Vector, de nombreuses parties de cette tâche sont effectuées automatiquement par le serveur de base de données, et l'administrateur n'est principalement concerné que par la phrase de passe.

Gestion des clés de chiffrement pour le chiffrement au repos

Modifier uniquement la phrase d'authentification

La tâche la plus fréquente de toute la gestion des clés est le changement de la phrase de passe d'une base de données. Le changement régulier de la phrase de passe peut être considéré comme une bonne pratique, car une phrase de passe compromise permettrait un accès non autorisé à la base de données après qu'elle a été verrouillée.

Cependant, il y a beaucoup moins de chances qu'une phrase de passe de base de données compromise entraîne également la compromission des clés qu'elle protège. Les clés sont stockées en interne dans le serveur de base de données et leur emplacement de stockage n'est pas accessible avec la seule phrase de passe de la base de données.

L'accès à la machine qui exécute le serveur de base de données ainsi que les droits d'accès aux fichiers appropriés seraient également nécessaires pour accéder aux clés cryptées, qui pourraient alors être décryptées à l'aide de la phrase d'authentification. Par conséquent, la plupart du temps, le fait de ne changer que la phrase d'authentification devrait suffire à assurer la sécurité. Des situations nécessitant également la modification des clés peuvent se produire, mais elles devraient être rares.

Depuis Actian Vector 7.0, chaque base de données dispose d'une "clé principale" et donc d'une phrase de passe pour protéger la clé principale. Dans les versions précédentes, seules les bases de données cryptées disposent d'une phrase d'authentification pour protéger directement la "clé de la base de données". Pour conserver un comportement compatible avec les versions précédentes d'Actian Vector, Actian Vector 7.0 gère la phrase de passe différemment pour les bases de données cryptées et non cryptées :

Pour les bases de données cryptées :

• Lors de la création d'une base de données cryptée, la phrase de passe de la base de données est demandée à l'utilisateur.
• Le créateur de la base de données doit se souvenir de la phrase de passe fournie pour pouvoir verrouiller et déverrouiller la base de données ultérieurement.
• Après sa création, la base de données reste déverrouillée jusqu'à ce qu'elle soit activement verrouillée à l'aide de la phrase de passe ou jusqu'à l'arrêt du serveur de base de données.
• Après un redémarrage du serveur de base de données, la base est verrouillée et doit être déverrouillée à l'aide de la phrase d'authentification pour être accessible. En effet, la clé de la base de données dérivée de la clé principale n'est stockée que dans la mémoire et est "perdue" lorsque le serveur de base de données est arrêté. Au démarrage, la phrase de passe est nécessaire pour décrypter la clé principale chiffrée afin que la clé de la base de données puisse à nouveau être dérivée de la clé principale.
• La base de données peut être verrouillée manuellement à l'aide de la phrase d'authentification.

Bases de données non cryptées :

• Lors de la création d'une base de données non cryptée, aucune phrase de passe n'est demandée à l'utilisateur. Au lieu de cela, une phrase de passe aléatoire est générée en interne, obscurcie et stockée. C'est ce que l'on appelle la "dissimulation" de la phrase de passe.
• Le créateur de la base de données ne connaît pas la phrase de passe et ne doit donc pas s'en souvenir.
• La base de données n'a pas besoin d'être déverrouillée car elle reste toujours déverrouillée, même après un redémarrage du serveur de base de données. En effet, le serveur de base de données utilise en interne la phrase d'authentification cachée.
• Il n'est pas possible de verrouiller la base de données manuellement.

Ce non chiffrement est le comportement par défaut dans Actian Vector 7.0, ce qui, du point de vue de l'utilisateur, est compatible avec les versions antérieures. Dans Actian Vector 7.0, ce comportement par défaut peut être modifié en activant ou en désactivant l'enregistrement de la phrase de passe. Vous en saurez plus à ce sujet dans un article de blog ultérieur sur "L'archivage de la phrase de passe".

Comment modifier la phrase d'authentification d'une base de données cryptée ?

Avec le comportement par défaut, il est possible de modifier la phrase de passe d'une base de données cryptée. La longueur minimale d'une phrase de passe est de huit caractères et la longueur maximale est de 512 caractères. Pour modifier la phrase de passe, l'administrateur de bases de données se connecte à la base de données déverrouillée et exécute les commandes SQL suivantes :

ACTIVER L'AUTOCOMMISSION ;

ALTER PASSPHRASE ‘<old passphrase>’ TO ‘<new passphrase>’;

L'administrateur de bases de données doit se souvenir de la nouvelle phrase de passe. L'ancienne phrase de passe est nécessaire lors de la restauration d'une sauvegarde de la base de données effectuée avant le changement de phrase de passe.

L'option Autocommit doit être activée avant l'exécution de l'instruction ALTER PASSPHRASE. L'instruction ALTER PASSPHRASE vérifie si l'ancienne phrase de passe est correcte. Si c'est le cas, l'ancienne "clé de protection" est dérivée de l'ancienne phrase de passe et la clé principale chiffrée est déchiffrée avec elle. La nouvelle clé de protection est dérivée de la nouvelle phrase de passe, puis la clé principale est chiffrée avec la nouvelle clé de protection avant d'être à nouveau stockée. La clé principale elle-même n'est pas modifiée. Elle est seulement protégée par une nouvelle clé de protection. Comme seule la clé principale doit être décryptée et recryptée, la modification de la phrase de passe est une opération rapide. Cette opération est illustrée dans le graphique suivant :

Les éléments modifiés sont indiqués en rouge. Comme la clé principale elle-même n'est pas modifiée, la clé de la base de données et les autres clés dérivées de la clé principale ne le sont pas non plus. Il n'est donc pas nécessaire de décrypter et de recrypter les données protégées par ces clés.

La sécurité des phrases de chiffrement en toute confiance

Changer la phrase de passe d'une base de données dans Actian Vector est à la fois simple et sûr. Comme la clé principale sous-jacente reste inchangée, les administrateurs de bases de données peuvent actualiser la protection sans introduire de complexité ou de risques inutiles. Cet équilibre entre un cryptage fort et une simplicité opérationnelle aide les organisations à maintenir les meilleures pratiques en matière de sécurité des données tout en conservant une gestion quotidienne efficace.

Comme toujours, la mise à jour des phrases de passe est un élément essentiel d'une stratégie de sécurité à plusieurs niveaux. Avec Actian Vector, les administrateurs de bases de données ont la possibilité d'adapter les politiques de phrases de passe aux besoins de leur organisation, sans perturber les performances ou l'accès.

Dans le prochain article de cette série, nous examinerons de plus près la rotation de la clé principale d'Actian Vector 7.0 et la façon dont elle peut simplifier l'administration tout en maintenant une sécurité solide.

À propos de Martin Fuerderer

Martin Fuerderer est ingénieur logiciel principal chez HCLSoftware, avec plus de 25 ans d'expérience dans le développement de serveurs de bases de données. Il s'est récemment concentré sur les fonctions de sécurité dans les environnements de base de données, assurant la conformité et une protection solide des données. Martin a contribué à des versions majeures de produits et collabore fréquemment avec ses pairs pour affiner les normes de sécurité des bases de données. Sur le blog d'Actian, Martin partage ses idées sur le développement de serveurs de bases de données sécurisés et les meilleures pratiques. Consultez ses derniers articles pour obtenir des conseils sur la protection des données d'entreprise.