Oracle Transparent Data Encryption (TDE)

Scopi ed utilizzo della Transparent Data Encryption in Oracle.

immagine pubblicata da Datamaze

Oracle Transparent Data Encryption (TDE)

TDE esegue la crittografia in modo trasparente dei dati ‘at rest’ nei database Oracle. Blocca i tentativi non autorizzati da parte del sistema operativo di accedere ai dati del database archiviati nei file, senza influire sul modo in cui le applicazioni accedono ai dati utilizzando SQL. TDE può crittografare interi tablespace dell'applicazione o colonne di tabelle ed è completamente integrato con il database Oracle. I dati crittografati rimangono crittografati nel database, sia che si tratti di file di tablespace dati, temporary tablespace, undo tablespace o altri file su cui Oracle Database fa affidamento, come i redologs. Inoltre, TDE può crittografare i backup di interi database (RMAN) e le esportazioni di Data Pump.

Introduzione a TDE

TDE non richiede modifiche alle applicazioni, per tale ragione è definito Transparent. La crittografia e la decrittografia vengono eseguite a livello storage senza alcun impatto sull'interfaccia SQL utilizzata dalle applicazioni (né istruzioni SQL in entrata, né risultati di query SQL in uscita). È inoltre certificato per l'uso delle più comuni applicazioni.

Oracle fornisce un package nativo per la crittografia che è il DBMS_CRYPTO; questo può essere utilizzato per crittografare manualmente i dati all'interno del database. Tuttavia, l'applicazione deve gestire le chiavi di crittografia ed eseguire le operazioni di crittografia e decrittografia richieste chiamando l'API. Questo approccio richiede uno sforzo significativo per la gestione e comporta un sovraccarico delle prestazioni. La crittografia delle tablespace TDE non richiede modifiche all'applicazione, è trasparente per gli utenti finali e fornisce una gestione delle chiavi integrata e automatizzata.

Come vengono gestite le chiavi di crittografia TDE?

La crittografia TDE utilizza un'architettura basata su chiave a due livelli. Gli utenti non autorizzati, così come gli intrusi che tentano attacchi alla sicurezza, non possono leggere i dati dai supporti di archiviazione e di backup a meno che non dispongano della master key per decrittografarli.

La master key di crittografia è archiviata in un modulo di sicurezza esterno (archivio chiavi software o hardware). Per default, TDE salva la propria master key in un Oracle Wallet, un file di archiviazione delle chiavi basato sugli standard PKCS#12. I wallet forniscono una soluzione semplice per un numero limitato di database crittografati. I clienti con molti database Oracle e altri server Oracle crittografati possono concedere in licenza e utilizzare Oracle Key Vault, un'appliance software con maggiore sicurezza che fornisce gestione centralizzata di chiavi e portafogli per l'azienda.

Come posso sapere quali dati criptare?

È necessario conoscere quali sono i dati sensibili salvati nei nostri database. Oracle fornisce una serie di strumenti che ci aiutano in questo: Oracle Database Security Assessment Tool, l’Enterprise Manager Application Data Modelling oppure, se il database è nel cloud – Data Safe. In ogni caso è opportuno sapere che una conoscenza puntuale non è indispensabile per attivare il processo di encryption anche perché le recenti ottimizzazioni sui chip per accelerare le operazioni di encryption portano spesso i clienti a proteggere l’intera base dati.