Uso da criptografia com bancos de dados SQL

A criptografia é útil sempre que você desejar restringir o acesso às informações armazenadas em um banco de dados. A funcionalidade de criptografia do banco de dados do Adobe AIR pode ser usada para várias finalidades. Estes são exemplos de casos em que você pode usar um banco de dados criptografado:

• Um cache somente leitura de dados de aplicativos privados baixados de um servidor

• Um armazenamento de aplicativo local para dados privados sincronizado com um servidor (os dados são enviados e carregados do servidor)

• Arquivos criptografados usados como formato de arquivo para documentos criados e editados pelo aplicativo. Os arquivos podem ser privados para um usuário ou projetados para compartilhamento entre todos os usuários do aplicativo.

• Qualquer outro uso de um armazenamento local de dados, como os descrito em Usos de bancos de dados SQL locais , onde os dados devem ser mantidos privados de pessoas com acesso ao computador ou aos arquivos do banco de dados.

Compreender o motivo pelo qual você deseja usar um banco de dados criptografado ajuda a decidir como arquitetar seu aplicativo. Especificamente, ele pode afetar a forma que seu aplicativo cria, obtém e armazena a chave de criptografia para o banco de dados. Para obter mais informações sobre essas considerações, consulte Considerações para usar criptografia com um banco de dados .

Além de um banco de dados criptografado, um mecanismo alternativo para manter dados confidenciais privados é o armazenamento local criptografado . Com o armazenamento local criptografado, você armazena um único valor ByteArray usando uma chave String. Apenas o aplicativo do AIR que armazena o valor pode acessá-lo, e somente no computador em que ele está armazenado. Com o armazenamento local criptografado, não é necessário criar sua própria chave de criptografia. Por esses motivos, o armazenamento local criptografado é mais adequado para armazenar facilmente um único valor ou um conjunto de valores que possa ser facilmente codificado em um ByteArray. Um banco de dados criptografado é mais adequado para conjuntos de dados maiores, onde o armazenamento de dados e consultas estruturadas são desejáveis. Para obter mais informações sobre o uso de armazenamento local criptografado, consulte Armazenamento local criptografado .

Para usar um banco de dados criptografado, o arquivo do banco de dados deve ser criptografado quando ele for criado. Quando um banco de dados é criado como não criptografado, ele pode não ser criptografado posteriormente. Da mesma forma, um banco de dados criptografado não pode passar a não criptografado posteriormente. Se necessário, você também pode alterar a chave de criptografia de um banco de dados criptografado. Para obter detalhes, consulte Alteração da chave de criptografia de um banco de dados . Se você tiver um banco de dados existente que não seja criptografado e desejar usar a criptografia de banco de dados, poderá criar um novo banco de dados criptografado e copiar a estrutura de tabela e os dados existentes no novo banco de dados.

Criar um banco de dados criptografado é quase idêntico a criar um banco de dados não criptografado, como descrito em Criação de um banco de dados . Primeiro você cria uma instância do SQLConnection que representa a conexão ao banco de dados. Crie o banco de dados chamando o método open() ou o método openAsync() do objeto do SQLConnection, especificando para a localização do banco de dados um arquivo que ainda não exista. A única diferença na criação de um banco de dados criptografado é que você fornece um valor para o parâmetro encryptionKey (o quinto parâmetro do método open() e o sexto parâmetro do método openAsync() ).

Um valor válido do parâmetro encryptionKey é um objeto ByteArray que contém exatamente 16 bytes. http://help.adobe.com/pt_BR/Flash/CS5/AS3LR/flash/utils/ByteArray.html

Os exemplos a seguir demonstram a criação de um banco de dados criptografado. Para simplicidade, nestes exemplos, a chave de criptografia é codificada no código do aplicativo. No entanto, essa técnica é altamente desencorajada, pois não é segura.

var conn:SQLConnection = new SQLConnection(); 
     
var encryptionKey:ByteArray = new ByteArray(); 
encryptionKey.writeUTFBytes("Some16ByteString"); // This technique is not secure! 
     
// Create an encrypted database in asynchronous mode 
conn.openAsync(dbFile, SQLMode.CREATE, null, false, 1024, encryptionKey); 
     
// Create an encrypted database in synchronous mode 
conn.open(dbFile, SQLMode.CREATE, false, 1024, encryptionKey);

Para obter um exemplo que demonstre uma forma recomendada de gerar uma chave de criptografia, consulte Exemplo: Geração e uso de uma chave de criptografia .

Da mesma forma que criar um banco de dados criptografado, o procedimento para abrir uma conexão com um banco de dados criptografado é como conectar-se a um banco de dados não criptografado. Esse procedimento é descrito com mais detalhes em Conexão com um banco de dados . Use o método open() para abrir uma conexão no modo de execução síncrona ou o método openAsync() para abri-la no modo de execução assíncrona . A única diferença é que para abrir um banco de dados criptografado, especifica o valor correto para o parâmetro encryptionKey (o quinto parâmetro do método open() e o sexto parâmetro do método openAsync() ).

Se a chave de criptografia fornecida não for a correta, ocorre um erro. Para o método open() , é lançada uma exceção SQLError . Para o método openAsync() , o objeto SQLConnection gera um SQLErrorEvent , cuja propriedade error contém um objeto SQLError . Em qualquer um dos casos, o objeto SQLError gerado pela exceção tem o valor 3138 na propriedade errorID . Este ID de erro corresponde à mensagem de erro “O arquivo aberto não corresponde a um arquivo de banco de dados.”

O exemplo a seguir demonstra a abertura de um banco de dados criptografado em modo de execução assíncrona. Para simplicidade, neste exemplo a chave de criptografia é codificada no código do aplicativo. No entanto, essa técnica é altamente desencorajada, pois não é segura.

import flash.data.SQLConnection; 
import flash.data.SQLMode; 
import flash.events.SQLErrorEvent; 
import flash.events.SQLEvent; 
import flash.filesystem.File; 
     
var conn:SQLConnection = new SQLConnection(); 
conn.addEventListener(SQLEvent.OPEN, openHandler); 
conn.addEventListener(SQLErrorEvent.ERROR, errorHandler); 
var dbFile:File = File.applicationStorageDirectory.resolvePath("DBSample.db"); 
     
var encryptionKey:ByteArray = new ByteArray(); 
encryptionKey.writeUTFBytes("Some16ByteString"); // This technique is not secure! 
     
conn.openAsync(dbFile, SQLMode.UPDATE, null, false, 1024, encryptionKey); 
     
function openHandler(event:SQLEvent):void 
{ 
    trace("the database opened successfully"); 
} 
     
function errorHandler(event:SQLErrorEvent):void 
{ 
    if (event.error.errorID == 3138) 
    { 
        trace("Incorrect encryption key"); 
    } 
    else 
    { 
        trace("Error message:", event.error.message); 
        trace("Details:", event.error.details); 
    } 
} 

O exemplo a seguir demonstra a abertura de um banco de dados criptografado em modo de execução síncrona. Para simplicidade, neste exemplo a chave de criptografia é codificada no código do aplicativo. No entanto, essa técnica é altamente desencorajada, pois não é segura.

import flash.data.SQLConnection; 
import flash.data.SQLMode; 
import flash.filesystem.File; 
     
var conn:SQLConnection = new SQLConnection(); 
var dbFile:File = File.applicationStorageDirectory.resolvePath("DBSample.db"); 
     
var encryptionKey:ByteArray = new ByteArray(); 
encryptionKey.writeUTFBytes("Some16ByteString"); // This technique is not secure! 
     
try 
{ 
    conn.open(dbFile, SQLMode.UPDATE, false, 1024, encryptionKey); 
    trace("the database was created successfully"); 
} 
catch (error:SQLError) 
{ 
    if (error.errorID == 3138) 
    { 
        trace("Incorrect encryption key"); 
    } 
    else 
    { 
        trace("Error message:", error.message); 
        trace("Details:", error.details); 
    } 
} 

Para obter um exemplo que demonstre uma forma recomendada de gerar uma chave de criptografia, consulte Exemplo: Geração e uso de uma chave de criptografia .

Quando um banco de dados é criptografado, você pode alterar a chave de criptografia do banco de dados posteriormente. Para alterar a chave criptográfica de um banco de dados, primeiro abra uma conexão com o banco de dados criando uma instância de SQLConnection e chamando seu método open() ou openAsync() . Quando o banco de dados for conectado, chame o método reencrypt() , enviando a nova chave de criptografia como um argumento.

Como a maioria das operações de banco de dados, o comportamento do método reencrypt() depende se a conexão do banco de dados usa modo de execução síncrona ou assíncrona. Se você usar o método open() para conectar-se ao banco de dados, a operação de reencrypt() será executada de forma síncrona. Quando a operação é concluída, a execução prossegue com a próxima linha do código.

var newKey:ByteArray = new ByteArray(); 
// ... generate the new key and store it in newKey 
conn.reencrypt(newKey);

Por outro lado, se a conexão do banco de dados for aberta com o método openAsync() , a operação de reencrypt() será assíncrona. Chamar reencrypt() inicia o processo de recriptografia. Quando a operação é concluída, o objeto SQLConnection despacha um evento reencrypt . Use um ouvinte de evento para determinar quando a recriptografia será concluída:

var newKey:ByteArray = new ByteArray(); 
// ... generate the new key and store it in newKey 
     
conn.addEventListener(SQLEvent.REENCRYPT, reencryptHandler); 
     
conn.reencrypt(newKey); 
     
function reencryptHandler(event:SQLEvent):void 
{ 
    // save the fact that the key changed 
}

A operação reencrypt() será executada na sua própria transação. Se a operação for interrompida ou falhar (por exemplo, se o aplicativo for fechado antes da conclusão da operação), a transação será revertida. Nesse caso, a chave de criptografia ainda será a chave de criptografia do banco de dados.

O método reencrypt() não pode ser usado para remover a criptografia de um banco de dados. Enviar um valor null ou chave de criptografia que não seja um ByteArray de 16 bytes para o método reencrypt() resulta em erro.

A seção Uso de um banco de dados criptografado apresenta vários casos em que você pode usar um banco de dados criptografado. É óbvio que as situações de uso dos aplicativos diferentes (incluindo essas e outras situações) têm requisitos de privacidade diferentes. A forma que você arquiteta o uso de criptografia no seu aplicativo tem importante papel no controle do grau de privacidade dos dados de um banco de dados. Por exemplo, se você estiver usando um banco de dados criptografado para manter os dados pessoais privados, mesmo de usuários do mesmo computador, o banco de dados de cada usuário deverá ter a própria chave de criptografia. Para obter segurança máxima, seu aplicativo pode gerar a chave de uma senha digitada por um usuário. Basear a chave de criptografia em uma senha garante que os dados se mantenham preservados, mesmo se qualquer outra pessoa entrar na conta do usuário no computador. Por outro lado, suponha que você deseje que um arquivo do banco de dados seja legível para qualquer usuário do seu aplicativo, mas não para os demais aplicativos. Nesse caso, todas as cópias do aplicativo instaladas precisam de acesso a uma chave de criptografia compartilhada.

Você pode projetar seu aplicativo e, em particular, a técnica usada para gerar a chave de criptografia, de acordo com o nível de privacidade que você deseja para os dados do aplicativo. A lista a seguir fornece sugestões de design para vários níveis de privacidade de dados.

• Para tornar um banco de dados acessível a qualquer usuário que tenha acesso ao aplicativo em qualquer computador, use uma única chave disponível em todas as instâncias do aplicativo. Por exemplo, na primeira vez que um aplicativo for executado, ele poderá baixar a chave de criptografia compartilhada de um servidor usando um protocolo seguro, como SSL. Em seguida, ele poderá salvar a chave no armazenamento local criptografado para uso futuro. Como alternativa, criptografe os dados por usuário no computador e sincronize os dados com um armazenamento de dados remoto, como servidor, para tornar os dados portáteis.

• Para tornar um banco de dados acessível para um único usuário em qualquer computador, gere a chave de criptografia a partir de um segredo do usuário (como uma senha). Especificamente, não use nenhum valor associado a um computador específico (como um valor armazenado no armazenamento local criptografado) para gerar a chave. Como alternativa, criptografe os dados por usuário no computador e sincronize os dados com um armazenamento de dados remoto, como servidor, para tornar os dados portáteis.

• Para tornar um banco de dados acessível somente para um único indivíduo em um único computador, gere a chave de uma senha e um salt gerado. Para obter um exemplo dessa técnica, consulte Exemplo: Geração e uso de uma chave de criptografia .

A seguir há algumas considerações adicionais sobre segurança que são importantes lembrar ao projetar um aplicativo para usar um banco de dados criptografado.

• Um sistema só é seguro como seu link mais fraco. Se você estiver usando uma senha gerada pelo usuário para gerar uma chave de criptografia, considere impor o restrições de complexidade e tamanho mínimo às senhas. Uma senha curta que use somente caracteres básicos pode ser adivinhada rapidamente.

• O código-fonte de um aplicativo do AIR é armazenado no computador de um usuário em texto simples (para conteúdo HTML) ou em um formato binário facilmente descompilável (para conteúdo SWF). Como o código-fonte é acessível, dois pontos a lembrar são:

  • Nunca codifique uma chave de criptografia no seu código-fonte

  • Sempre suponha que a técnica usada para gerar uma chave de criptografia (como gerador aleatório de caracteres ou um algoritmo de hash específico) possa ser facilmente descoberta por um invasor

• A criptografia do banco de dados AIR usa o modo AES (padrão de criptografia avançado) com CCM (contador com CBC-MAC). Essa cifra de criptografia requer a combinação de uma chave inserida pelo usuário com um valor salt para ser segura. Para obter um exemplo, consulte Exemplo: Geração e uso de uma chave de criptografia .

• Quando você opta por criptografar um banco de dados, todos os arquivos de discos usados pelo mecanismo de banco de dados juntamente com esse banco de dados são criptografados. No entanto, o mecanismo do banco de dados retém alguns dados temporariamente em um cache na memória para aprimorar o desempenho de tempos de leitura e gravação em transações. Todos os dados residentes na memória são criptografados. Se um invasor puder acessar a memória usada por um aplicativo do AIR, por exemplo usando um depurador, os dados do banco de dados aberto atualmente e não criptografado ficarão disponíveis.

Esse aplicativo de exemplo demonstra uma técnica para gerar uma chave de criptografia. Esse aplicativo foi projetado para fornecer o nível mais alto de privacidade e segurança para dados do usuário. Um aspecto importante da segurança de dados privados é exigir que o usuário digite uma senha sempre que o aplicativo se conectar ao banco de dados. Consequentemente, conforme mostrado no exemplo, um aplicativo que requer este nível de privacidade nunca deverá armazenar diretamente a chave de criptografia do banco de dados.

O aplicativo consiste em duas partes: uma classe ActionScript que gera uma chave de criptografia (a classe EncryptionKeyGenerator) e uma interface do usuário básica que demonstra como usar a classe. Para obter o código-fonte completo, consulte Exemplo completo de código para gerar e usar uma chave de criptografia .