Sécuriser vos données avec Actian Vector, partie 6

L'article de blog précédent de cette série expliquait comment modifier uniquement la phrase de passe d'une base de données cryptée dans Actian Vector. Si, dans la plupart des cas, cette méthode répond aux exigences de sécurité, il est également possible de modifier la "clé principale". Les métadonnées de la base de données sont alors recryptées avec une nouvelle clé.

Gestion des clés de chiffrement pour le chiffrement au repos

Rotation de la touche principale

Au lieu de changer uniquement la phrase de passe dans Actian Vector, il est également possible de changer, c'est-à-dire de "tourner" la clé principale.

Cette opération est effectuée en même temps que la modification de la phrase de passe. L'instruction SQL ALTER PASSPHRASE est utilisée, en spécifiant en outre l'option WITH NEWKEY qui modifie la clé principale en générant une nouvelle valeur aléatoire. Étant donné que la "clé de base de données" et les autres clés sont dérivées de la clé principale, ces clés changent également. Cela signifie que tout ce qui est crypté avec ces clés doit être décrypté avec les anciennes clés pour être à nouveau crypté avec les nouvelles clés.

Pour le cryptage de la base de données, c'est l'ensemble du conteneur des "clés de table" qui est crypté avec la clé de la base de données, et non pas seulement les "clés de table" individuelles du conteneur. Comme ce conteneur contient non seulement les clés de table, mais aussi un grand nombre de métadonnées différentes pour la base de données, le conteneur peut être assez volumineux, et le décryptage et le recryptage de tout son contenu peuvent donc être une opération lente.

En outre, les métadonnées contenues dans le conteneur avec les clés de table comprennent également des informations de journalisation de la base de données. Le rechiffrement de ces métadonnées à la suite d'un changement de clé principale affecte la progression du journal lors d'une restauration de la base de données : la progression du journal ne peut pas être effectuée au-delà du point de changement de clé principale.

Par conséquent, il est recommandé d'effectuer un nouveau point de contrôle complet (c'est-à-dire une sauvegarde de la base de données) après avoir modifié la clé principale afin de s'assurer que des sauvegardes valides de la base de données sont disponibles. En outre, pour pouvoir lancer une restauration à partir d'une sauvegarde de la base de données effectuée avant un changement de phrase de passe, il faut disposer de l'ancienne phrase de passe qui était en vigueur au moment où la sauvegarde a été effectuée.

Modification de la phrase d'authentification et rotation de la clé principale

Les clés des tables ne sont pas modifiées lors de la modification de la clé principale et, par conséquent, les données utilisateur des tables et des index ne sont pas touchées. Les instructions SQL suivantes modifient la phrase d'authentification en même temps que la clé principale :

SET AUTOCOMMIT ON;
ALTER PASSPHRASE '<old passphrase>' TO '<new passphrase>' WITH NEWKEY;

L'administrateur de bases de données doit se souvenir de la nouvelle phrase d'authentification.

L'exactitude de l'ancienne phrase de passe est vérifiée. Ensuite, l'ancienne clé principale est déchiffrée avec l'ancienne "clé de protection" dérivée de l'ancienne phrase de passe. L'ancienne clé de la base de données (toujours en mémoire) est utilisée pour déchiffrer le conteneur avec les clés des tableaux. Une nouvelle clé principale est générée de manière aléatoire. La nouvelle clé de la base de données est dérivée de la nouvelle clé principale et utilisée pour recrypter le conteneur avec les clés des tables inchangées.

La nouvelle clé principale est à nouveau chiffrée avec la nouvelle clé de protection dérivée de la nouvelle phrase de passe. La nouvelle clé principale chiffrée est ensuite conservée. La nouvelle clé de la base de données et les nouvelles autres clés, également dérivées de la nouvelle clé principale, sont conservées en mémoire.

Le graphique suivant illustre l'effet de la modification de la clé principale :

Le cryptage des clés de table change car l'ensemble du conteneur des clés de table est recrypté avec la nouvelle clé de la base de données. Mais les clés de table elles-mêmes restent inchangées, et les données utilisateur cryptées dans les tables et les index ne sont donc pas touchées.

Quand faut-il tourner la clé principale ?

En général, l'objectif principal de la rotation d'une clé de chiffrement est de réduire la quantité de données chiffrées à l'aide d'une seule clé. En cas de compromission de la clé, cela permet de réduire la quantité de matériel divulgué. Cela s'applique bien au cryptage des communications où, dans le flux de données communiquées, la rotation de la clé, pendant la communication, modifie le cryptage des données suivantes. Cependant, avec les données au repos, la rotation des clés signifie que les données existantes sont décryptées avec l'ancienne clé, puis immédiatement cryptées avec la nouvelle clé - la quantité de données cryptées reste la même.

Ainsi, pour le chiffrement des données au repos , le cas le plus important pour la rotation immédiate des clés est celui où la clé a été compromise ou est soupçonnée de l'avoir été.

Bien entendu, si une rotation régulière des clés est nécessaire pour se conformer aux exigences externes, il n'y a pas d'autre choix que de suivre les procédures prescrites.

En dehors de ces situations, il convient d'examiner attentivement les circonstances individuelles pour déterminer quels intervalles de rotation des clés sont raisonnables. Il s'agit notamment de facteurs tels que la fréquence de mise à jour des données existantes, la quantité de données ajoutées au fil du temps, le temps nécessaire pour effectuer la rotation des clés, les conséquences pour la gestion des sauvegardes et des restaurations, etc. Il n'existe pas de recette universelle.

À propos de Martin Fuerderer

Martin Fuerderer est ingénieur logiciel principal chez HCLSoftware, avec plus de 25 ans d'expérience dans le développement de serveurs de bases de données. Il s'est récemment concentré sur les fonctions de sécurité dans les environnements de base de données, assurant la conformité et une protection solide des données. Martin a contribué à des versions majeures de produits et collabore fréquemment avec ses pairs pour affiner les normes de sécurité des bases de données. Sur le blog d'Actian, Martin partage ses idées sur le développement de serveurs de bases de données sécurisés et les meilleures pratiques. Consultez ses derniers articles pour obtenir des conseils sur la protection des données d'entreprise.