Database gegevens op straat ?

Door Ronny Vangaster op 20-01-2024 16:22 gewijzigd op 20-01-2024 16:24

2.503 views

iedereen,

Hopelijk staat dit onderwerp in de juiste rubriek, zo niet mijn excuus hiervoor.

Tegenwoordig hoor je steeds meer dat gegevens kunnen worden ontfutseld door criminelen. Daar geloof ik uiteraard sterk in. Hoe dit komt kan ik logisch verklaren : het antwoorden op ontvangen phisingmails kan dit veroorzaken, het gebruik van gemakkelijke paswoorden zoals bv "123456" enz.

Maar wat ik niet goed snap is dat criminelen een database kunnen kopiëren. Ik zou echt niet weten hoe je dat kan doen als je geen inlog - of ftp-gegevens hebt, mijn kennis hierin is trouwens ondermaats. Je hoort regelmatig dat duizenden persoonlijke gegevens op straat worden gegooid. De tabellen die ik toevoeg in een database zijn altijd versleuteld met een 128-bits versleutelcode. Het lijkt me sterk dat criminelen die erin slagen de database te kunnen hacken dat ze ook de inhoud kunnen lezen. Zie ik dit correct ?
Wat is jullie mening hierover ? Dank.

? Onbekende gebruiker

24-01-2024 13:52

Er zijn allerlei manieren om gegevens te versleutelen in een database, zoals bijvoorbeeld met searchable symmetric encryption. Maar wat je ook verzint, elke methode heeft voor- en nadelen. Postgres somt het aardig op: https://www.postgresql.org/docs/current/encryption-options.html

Encryptie in de database zelf is niet echt veilig omdat SQL statements (met wachtwoorden..) gelogd worden wat dan ook weer een risico is. Autorisatie als accounts, rechten en RLS moet gewoon goed ingeregeld zijn, de gegevensdrager moet voorzien zijn van encryptie (bitlocker / LUKS / ..) en het transport moet versleuteld zijn.

Dat laatste is echt een achilleshiel, want wie doet dat? Wie heeft de verbinding met de applicatieserver en de database server beveiligd met TLS? En wie heeft de HTTP-verbinding tussen de proxy webserver en de applicatieservers beveiligd met TLS? Omwille van 'performance' wordt encryptie nogal eens achterwege gelaten, met een term als SSL Offloading.

Wat veel mensen zich ook niet realiseren, is de 'store now, decrypt later'-tactiek die ook toegepast wordt. Met dat in het achterhoofd wil je alleen nog TLS 1.3 gebruiken met de beste ciphers. En dan alleen wanneer het nodig is gegevens over een publiek netwerk verplaatsen.

R Ronny Vangaster

24-01-2024 14:03

Beste, bedankt voor uw verhaal. Uw verhaal moet ik helaas overlaten aan "kenners", ik kan slechts alleen vertrouwen op de makers van de tool die ik gebruik. Ik heb wel een test programma gemaakt met een MySql database en daarin een versleutelde tabel. Tot op heden heeft nog niemand de coderingssleutel kunnen lezen. Lijk mij echt wel een uitdading voor u.
Mijn bedoeling is NIET om mensen te testen op hun kennis, maar wel om te kunnen vaststellen hoe veilig of onveilig versleuteling werkt.

? Onbekende gebruiker

25-01-2024 11:39 gewijzigd op 25-01-2024 11:39

Er zijn tools om computerprogramma's terug te vertalen naar leesbare code, bijvoorbeeld met een disassembler. Als iemand er werk van maakt kan diegene zien waar de sleutel vandaan komt en daarmee alle gegevens ontsleutelen. Voor als de quantumcomputer er nog niet is, want vanaf dan ligt zowat alles op straat. Voor meer info zie https://www.weforum.org/agenda/2022/09/organizations-protect-quantum-computing-threat-cybersecurity/

Reageren

Inloggen om te reageren