徳丸本の中の人 OWASP Japanアドバイザリーボード EGセキュアソリューションズ代表 IPA非常勤職員 脆弱性診断、WAFの販売・導入、セキュリティコンサルティングをやっています。
https://t.co/F0kveu1nJM

機密情報をDBに保存するとき、私は今まで深く考えずに「アプリケーションで暗号化+DBaaSによる透過的暗号化(自動)」を採用してきました。前者はアプリケーションの脆弱性(意図しない出力)に対する予防策として意味があると今も思っていますが、実際には値の操作時に自動で暗号化及び復号を行うフレームワークを採用することがほとんどで、最近は「前者の暗号化は意味がないのではないか?」「透過的暗号化だけでいいのではないか?」と思っています。
セキュリティはもちろんプロジェクトの要件次第だとは思うのですが、「DBには機密情報を平分で保存し、DBaaSによる透過的暗号化しか採用しない」という方法は徳丸さんから見てどう思いますか。何か見逃している観点はありますでしょうか。

2021/03/28 09:33

データベースの暗号化については最近動画を作りましたのでそちらをご覧ください。
https://www.youtube.com/watch?v=CLs-jcfRVRQ
アプリケーションによる暗号化の効果ですが、例示すると、
(1)認可制御不備による漏洩→効果なし
(2)SQLインジェクションによる漏洩→効果あり
(3)リモートコード実行可能な脆弱性による漏洩→効果あり
であり、一方、透過的暗号化は上記いずれにも効果がないで、アプリケーションによる暗号化は意味があると思います。DBaaSによる透過的暗号化はそのためのコストが安ければ使えば良いと思います。

ギフトサポートする

徳丸 浩

コメント

継続サポートするとコメントを閲覧、投稿することができます。

その他の投稿