Uso del cifrado con bases de datos SQL

El cifrado resulta útil cuando se desea restringir el acceso a la información almacenada en una base de datos. La funcionalidad del cifrado de la base de datos de Adobe AIR se puede emplear para varios usos. A continuación se incluyen algunos ejemplos de casos en los que podría resultar adecuado el uso de una base de datos cifrada:

• Una memoria caché de solo lectura de datos de aplicación privada descargados desde un servidor.

• Un almacén de aplicación local para datos privados que esté sincronizado con un servidor (los datos se envían al servidor y se descargan desde el mismo).

• Archivos cifrados utilizados como formato de archivo para documentos creados y editados por la aplicación. Los archivos pueden ser privados para un usuario, o bien, pueden estar diseñados para compartirse entre todos los usuarios de la aplicación.

• Cualquier otro uso de un almacén de datos local como, por ejemplo, los que se describen en Usos de las bases de datos SQL locales , donde los datos deben ser privados para los usuarios que disponen de acceso al equipo o a los archivos de la base de datos.

Conocer el motivo por el que se desea utilizar una base de datos cifrada ayuda a decidir la forma en que se plantea la arquitectura de la aplicación. En concreto, puede afectar al modo en que la aplicación crea, obtiene o almacena la clave de cifrado para la base de datos. Para obtener más información sobre estos puntos, consulte Consideraciones para el uso del cifrado con una base de datos .

Además de una base de datos cifrada, un mecanismo alternativo para proteger la privacidad de datos importantes es el almacén local cifrado . Con el almacén local cifrado, se almacena un solo valor ByteArray utilizando una clave String. Únicamente la aplicación de AIR que almacenó el valor puede acceder al mismo y solo en el equipo en el que está almacenado. Con el almacén local cifrado, no es necesario crear una clave de cifrado propia. Por estos motivos, el almacén local cifrado resulta más adecuado para almacenar fácilmente un solo valor o conjunto de valores que se pueden codificar con facilidad en un objeto ByteArray. Una base de datos cifrada es más apropiada para conjuntos de datos más grandes donde el almacenamiento de datos estructurados y las consultas resultan más recomendables. Para obtener más información sobre el uso del almacén local cifrado, consulte Almacenamiento local cifrado .

Para poder utilizar una base de datos cifrada, el archivo de base de datos debe estar cifrado cuando se cree. Una vez que una base de datos se crea como no cifrada, no puede cifrarse posteriormente. Asimismo, una base de datos cifrada no puede encontrarse sin cifrar más adelante. Si es necesario, puede cambiar la clave de cifrado de una base de datos cifrada. Para obtener más información, consulte Cambio de la clave de cifrado de una base de datos . Si dispone de una base de datos existente que no está cifrada y desea usar el cifrado de base de datos, puede crear una nueva base de datos cifrada y copiar la estructura de tabla existente y la información en la nueva base de datos.

La creación de una base de datos cifrada es un proceso casi idéntico a la creación de una base de datos no cifrada, tal y como se describe en Creación de una base de datos . En primer lugar se crea una instancia de SQLConnection que representa la conexión con la base de datos. La base de datos se crea llamando al método open() del objeto SQLConnection o al método openAsync() , especificando para la ubicación de la base de datos un archivo que aún no exista. La única diferencia al crear una base de datos cifrada es que se proporciona un valor para el parámetro encryptionKey (el quinto parámetro del método open() y el sexto parámetro del método openAsync() ).

Un valor del parámetro encryptionKey válido es un objeto ByteArray que contiene exactamente 16 bytes. http://help.adobe.com/es_ES/Flash/CS5/AS3LR/flash/utils/ByteArray.html

Los siguientes ejemplos muestran la creación de una base de datos cifrada. Para que resulte más fácil, en estos ejemplos la clave de cifrado está programada en el código de la aplicación. Sin embargo, el uso de esta técnica no es recomendable porque no es segura.

var conn:SQLConnection = new SQLConnection(); 
     
var encryptionKey:ByteArray = new ByteArray(); 
encryptionKey.writeUTFBytes("Some16ByteString"); // This technique is not secure! 
     
// Create an encrypted database in asynchronous mode 
conn.openAsync(dbFile, SQLMode.CREATE, null, false, 1024, encryptionKey); 
     
// Create an encrypted database in synchronous mode 
conn.open(dbFile, SQLMode.CREATE, false, 1024, encryptionKey);

Para obtener un ejemplo que muestre un modo recomendado de generar una clave de cifrado, consulte Ejemplo: Generación y uso de claves de cifrado .

Al igual en sucede en la creación de una base de datos cifrada, el procedimiento para abrir una conexión a una base de datos cifrada es como la conexión a una base de datos no cifrada. Dicho procedimiento se describe con más detalle en Conexión a una base de datos . El método open() se utiliza para abrir una conexión en modo de ejecución sincrónico o el método o el método openAsync() para abrir una conexión en modo de ejecución asíncrono . La única diferencia radica en que para abrir una base de datos cifrada, se especifica el valor correcto para el parámetro encryptionKey (el quinto parámetro del método open() y el sexto parámetro del método openAsync() ).

Si la clave de cifrado que se proporciona no es correcta, se generará un error. Para el método open() , se emite una excepción SQLError. http://help.adobe.com/es_ES/Flash/CS5/AS3LR/flash/errors/SQLError.html Para el método openAsync() , el objeto SQLConnection distribuye SQLErrorEvent , cuya propiedad error contiene un objeto SQLError . En cualquier caso, el objeto SQLError generado mediante la excepción cuenta con el valor de propiedad errorID 3138. Este ID de error se corresponde con el mensaje de error “File opened is not a database file” (El archivo abierto no es un archivo de base de datos).

En el siguiente ejemplo se muestra la apertura de una base de datos cifrada en modo de ejecución asíncrono. Para que resulte más fácil, en este ejemplo la clave de cifrado está programada en el código de la aplicación. Sin embargo, el uso de esta técnica no es recomendable porque no es segura.

import flash.data.SQLConnection; 
import flash.data.SQLMode; 
import flash.events.SQLErrorEvent; 
import flash.events.SQLEvent; 
import flash.filesystem.File; 
     
var conn:SQLConnection = new SQLConnection(); 
conn.addEventListener(SQLEvent.OPEN, openHandler); 
conn.addEventListener(SQLErrorEvent.ERROR, errorHandler); 
var dbFile:File = File.applicationStorageDirectory.resolvePath("DBSample.db"); 
     
var encryptionKey:ByteArray = new ByteArray(); 
encryptionKey.writeUTFBytes("Some16ByteString"); // This technique is not secure! 
     
conn.openAsync(dbFile, SQLMode.UPDATE, null, false, 1024, encryptionKey); 
     
function openHandler(event:SQLEvent):void 
{ 
    trace("the database opened successfully"); 
} 
     
function errorHandler(event:SQLErrorEvent):void 
{ 
    if (event.error.errorID == 3138) 
    { 
        trace("Incorrect encryption key"); 
    } 
    else 
    { 
        trace("Error message:", event.error.message); 
        trace("Details:", event.error.details); 
    } 
} 

En el siguiente ejemplo se muestra la apertura de una base de datos cifrada en modo de ejecución sincrónico. Para que resulte más fácil, en este ejemplo la clave de cifrado está programada en el código de la aplicación. Sin embargo, el uso de esta técnica no es recomendable porque no es segura.

import flash.data.SQLConnection; 
import flash.data.SQLMode; 
import flash.filesystem.File; 
     
var conn:SQLConnection = new SQLConnection(); 
var dbFile:File = File.applicationStorageDirectory.resolvePath("DBSample.db"); 
     
var encryptionKey:ByteArray = new ByteArray(); 
encryptionKey.writeUTFBytes("Some16ByteString"); // This technique is not secure! 
     
try 
{ 
    conn.open(dbFile, SQLMode.UPDATE, false, 1024, encryptionKey); 
    trace("the database was created successfully"); 
} 
catch (error:SQLError) 
{ 
    if (error.errorID == 3138) 
    { 
        trace("Incorrect encryption key"); 
    } 
    else 
    { 
        trace("Error message:", error.message); 
        trace("Details:", error.details); 
    } 
} 

Para obtener un ejemplo que muestre un modo recomendado de generar una clave de cifrado, consulte Ejemplo: Generación y uso de claves de cifrado .

Cuando se cifra una base de datos, es posible cambiar su clave de cifrado con posterioridad. Para cambiar una clave de cifrado de la base de datos, en primer lugar abra una conexión con la base de datos, creando una instancia de SQLConnection llamando a su método open() o openAsync() . Una vez que la base de datos esté conectada, llame al método reencrypt() , transmitiendo la nueva clave de cifrado como argumento.

Al igual que sucede en la mayoría de las operaciones de bases de datos, el comportamiento del método reencrypt() varía dependiendo de si la conexión de base de datos utiliza el modo de ejecución sincrónico o asíncrono. Si se utiliza el método open() para realizar la conexión a la base de datos, la operación reencrypt() se ejecuta de forma sincrónica. Cuando se completa la operación, la ejecución continúa con la siguiente línea de código:

var newKey:ByteArray = new ByteArray(); 
// ... generate the new key and store it in newKey 
conn.reencrypt(newKey);

Por otra parte, si la conexión de base de datos se abre usando el método openAsync() , la operación reencrypt() es asíncrona. Al llamar a reencrypt() , comienza el proceso de nuevo cifrado. Cuando la operación finaliza, el objeto SQLConnection distribuye un evento reencrypt . El detector de eventos se emplea para determinar cuándo finaliza el nuevo cifrado:

var newKey:ByteArray = new ByteArray(); 
// ... generate the new key and store it in newKey 
     
conn.addEventListener(SQLEvent.REENCRYPT, reencryptHandler); 
     
conn.reencrypt(newKey); 
     
function reencryptHandler(event:SQLEvent):void 
{ 
    // save the fact that the key changed 
}

La operación reencrypt() se ejecuta en su propia transacción. Si la operación se interrumpe o falla (por ejemplo, si la aplicación se cierra antes de que finalice la operación), la transacción se deshace. En este caso, la clave de cifrado original es aún la clave de cifrado para la base de datos.

El método reencrypt() no se puede utilizar para eliminar el cifrado de una base de datos. La transmisión de un valor null o de una clave de cifrado que no es un objeto ByteArray de 16 bytes al método reencrypt() , genera un error.

En la sección Usos de una base de datos cifrada se presentan varios casos en los que sería adecuado el uso de una base de datos cifrada. Resulta evidente que los escenarios de uso de diferentes aplicaciones (incluyendo estos y otros escenarios) cuentan con requisitos de privacidad distintos. La forma en que se plantea la arquitectura del uso del cifrado en cada aplicación representa una parte importante en el control del nivel de privacidad de la información de una base de datos. Por ejemplo, si está utilizando una base de datos cifrada parar proteger la privacidad de datos personales, incluso de otros usuarios del mismo equipo, la base de datos de cada usuario necesita su propia clave de cifrado. Para obtener la máxima seguridad, su aplicación puede generar una clave a partir de una contraseña introducida por el usuario. Si la clave de cifrado se basa en una contraseña, se garantiza que aunque otra persona pueda suplantar la cuenta del usuario en el equipo, no sea posible acceder a los datos. En el otro extremo del espectro de la privacidad, supongamos que desea que cualquier usuario de su aplicación, pero no de otras aplicaciones, pueda leer un archivo de la base de datos. En este caso, todas las copias instaladas de la aplicación necesitan acceso a una clave de cifrado compartida.

La aplicación se puede diseñar, y en concreto la técnica utilizada para generar la clave de cifrado, según el nivel de privacidad que se desee para los datos de la aplicación. En la siguiente lista se incluyen sugerencias de diseño para distintos niveles de privacidad de datos:

• Para que cualquier usuario que tenga acceso a la aplicación pueda acceder a una base de datos en cualquier equipo, utilice una sola clave que esté disponible en todas las instancias de la aplicación. Por ejemplo, la primera vez que se ejecute una aplicación, puede descargar la clave de cifrado compartida de un servidor mediante un protocolo seguro como, por ejemplo, SSL. Después puede guardar la clave en el almacén local cifrado para su uso posterior. Como alternativa, cifre los datos por usuario en el equipo y sincronícelos con un almacén de datos remoto como, por ejemplo, un servidor para hacer que la información sea portátil.

• Para que un solo usuario pueda acceder a una base de datos en cualquier equipo, genere la clave de cifrado a partir de un secreto de usuario (por ejemplo, una contraseña). En especial, no utilice ningún valor que esté asociado a un equipo concreto (por ejemplo, un valor almacenado en el almacén local cifrado) para generar la clave. Como alternativa, cifre los datos por usuario en el equipo y sincronícelos con un almacén de datos remoto como, por ejemplo, un servidor para hacer que la información sea portátil.

• Para que únicamente un usuario concreto pueda acceder a una base de datos en un solo equipo, genere la clave a partir de una contraseña y un valor salt generado. Para ver un ejemplo de esta técnica, consulte Ejemplo: Generación y uso de claves de cifrado .

A continuación se incluyen consideraciones sobre seguridad adicionales que son importantes tener en cuenta a la hora de diseñar una aplicación que utilice una base de datos cifrada:

• Un sistema solo es seguro en su vínculo más débil. Si usa una contraseña introducida por el usuario para generar una clave de cifrado, tenga en cuenta la aplicación de restricciones de complejidad y longitud mínima en las contraseñas. Una contraseña corta que solo utilice caracteres básicos se puede adivinar rápidamente.

• El código fuente de una aplicación de AIR se almacena en un equipo de usuario en texto sin formato (para contenido HTML), o bien, en un formato binario que se puede descompilar (para contenido SWF). Debido a que es posible acceder al código fuente, se deben recordar dos puntos:

  • No programe nunca una clave de cifrado en el código fuente.

  • Se debe tener siempre en cuenta que la técnica empleada para generar una clave de cifrado (por ejemplo, generador de caracteres aleatorios o un algoritmo hash concreto) puede ser desvelada fácilmente por un atacante.

• El cifrado de base de datos de AIR utiliza el algoritmo AES (Advanced Encryption Standard, estándar de cifrado avanzado) con modo de contador con CBC-MAC (CCM). Este sistema de cifrado requiere que una clave introducida por el usuario se combine con un valor salt para ser segura. Para ver un ejemplo, consulte Ejemplo: Generación y uso de claves de cifrado .

• Si opta por cifrar una base de datos, se cifrarán todos los archivos de disco utilizados por el motor de la base de datos junto con dicha base de datos. Sin embargo, el motor de base de datos retiene algunos datos temporalmente en una caché de memoria interna para mejorar el rendimiento de lectura y escritura en las transacciones. Los datos residentes en memoria no están cifrados. Si un atacante puede acceder a la memoria utilizada por una aplicación de AIR (por ejemplo, mediante un depurador), la información de una base de datos que esté abierta y sin cifrar actualmente podría quedar expuesta.

Esta aplicación de ejemplo muestra una técnica para generar una clave de cifrado. Esta aplicación está diseñada para proporcionar el nivel más elevado de privacidad y seguridad para los datos de los usuarios. Un aspecto importante a la hora de asegurar los datos privados radica en solicitar al usuario que introduzca una contraseña cada vez que la aplicación se conecta a la base de datos. Por lo tanto, tal y como se muestra en este ejemplo, una aplicación que requiere este nivel de privacidad nunca debe almacenar directamente la clave de cifrado de la base de datos.

La aplicación consta de dos partes: una clase ActionScript que genera una clave de cifrado (clase EncryptionKeyGenerator) y una interfaz de usuario básica que muestra cómo utilizar esa clase. Para obtener el código fuente completo, consulte Código de ejemplo completo para generar y utilizar una clave de cifrado .