Использование шифрования с базами данных SQL

Шифрование всегда полезно в тех случаях, когда требуется ограничить доступ к информации, хранимой в базе данных. Функция шифрования базы данных в Adobe AIR может использоваться в следующих целях. Далее приведены несколько примеров, когда может потребоваться использование зашифрованной базы данных:

• Доступный только для чтения кэш-буфер конфиденциальных прикладных данных, загруженных с сервера

• Локальное хранилище приложений, для закрытых данных, синхронизируемых с сервером (данные отправляются на сервер и загружаются с него)

• Зашифрованные файлы, которые используются в качестве формата файлов для документов, создаваемых и редактируемых приложением. Эти файлы могут быть конфиденциальными, предназначенными только для одного пользователя, а также могут быть предназначены для совместного использования всеми пользователями приложения.

• Любое другое использование локального хранилища данных, например, как это описано в разделе Применение локальных бах данных SQL, при котором данные должны сохраняться конфиденциально, защищенные от других пользователей, имеющих доступ к компьютеру или файлам базы данных.

Понимание причины, зачем требуется использовать зашифрованную базу данных, помогает решить, как спроектировать приложение. В частности, это может повлиять на то, как приложение создает, получает и хранит ключ шифрования для базы данных. Дополнительные сведения об этих аспектах см. в разделе «Предпосылки для использования зашифрованной базы данных».

Помимо зашифрованных баз данных существует альтернативный механизм конфиденциального хранения важных данных в зашифрованном локальном хранилище. Зашифрованное локальное хранилище позволяет хранить значение ByteArray с помощью ключа строки. Только то приложение AIR, которое хранит значение, может обращаться к нему, и только на том компьютере, где хранится это значение. Благодаря зашифрованному локальному хранилищу нет необходимости создавать собственный ключ шифрования. По этой причине зашифрованное локальное хранилище лучше всего подходит для удобного хранения отдельного значения или набора значений, которые легко могут быть зашифрованными в ByteArray. Зашифрованная база данных лучше всего подходит для больших наборов данных, где желательны структурированное хранение данных и выполнение запросов. Дополнительные сведения о зашифрованной локальной системе хранения данных см. в разделе «Зашифрованная локальная система хранения данных».

Для использования зашифрованной базы данных файл базы данных должен быть зашифрован при создании. Если база данных создана как незашифрованная, ее нельзя будет зашифровать в будущем. Точно так же нельзя будет расшифровать зашифрованную базу данных. Если необходимо, можно изменить ключ шифрования зашифрованной базы данных. Дополнительные сведения см. в разделе Изменение ключа шифрования для базы данных. Если имеется существующая база данных, которая не зашифрована, и требуется использовать шифрование базы данных, можно создать новую зашифрованную базу данных и скопировать существующую структуру таблиц и данных в эту новую базу данных.

Создание зашифрованной базы данных практически полностью совпадает с процедурой создания незашифрованной базы данных, как это описано в разделе Создание базы данных. Вначале создается экземпляр класса SQLConnection, который воспроизводит подключение к базе данных. База данных создается путем вызова метода open() или метода openAsync() объекта SQLConnection, указывающих базе данных местонахождение файла, который еще не существует. Единственным отличием при создании зашифрованной базы данных является то, что указывается значение для параметра encryptionKey (пятый параметр метода open() и шестой параметр метода openAsync()).

Допустимым значением параметра encryptionKey является объект ByteArray, содержащий ровно 16 байт.

Следующие примеры демонстрируют создание зашифрованной базы данных. Для простоты в этих примерах ключ шифрования жестко закодирован в коде приложения. Однако настоятельно не рекомендуется применять эту технологию, поскольку она не безопасна.

var conn:SQLConnection = new SQLConnection(); 
     
var encryptionKey:ByteArray = new ByteArray(); 
encryptionKey.writeUTFBytes("Some16ByteString"); // This technique is not secure! 
     
// Create an encrypted database in asynchronous mode 
conn.openAsync(dbFile, SQLMode.CREATE, null, false, 1024, encryptionKey); 
     
// Create an encrypted database in synchronous mode 
conn.open(dbFile, SQLMode.CREATE, false, 1024, encryptionKey);

В качестве примера, демонстрирующего рекомендуемый способ создания ключа шифрования, см. раздел Пример: создание и использование ключа шифрования.

Подобно созданию зашифрованной базы данных, процедура открытия соединения с зашифрованной базой данных подобна процедуре открытия соединения с незашифрованной базой. Эта процедура подробно описана в разделе Подключение к базе данных. Метод open() используется для открытия соединения в синхронном режиме выполнения, а метод openAsync() — для открытия соединения в асинхронном режиме выполнения. Единственным отличием является то, что при открытии зашифрованной базы данных указывается допустимое значение для параметра encryptionKey (пятый параметр метода open() и шестой параметр метода openAsync()).

Если указанный ключ шифрования не верен, происходит ошибка. Для метода open() вызывается исключение SQLError. Для метода openAsync() объект SQLConnection отправляет событие SQLErrorEvent, свойство error которого содержит объект SQLError. В любом случае в объекте SQLError, созданном исключением, в свойстве errorID содержится значение 3138. Этот идентификатор ошибки соответствует сообщению об ошибке «Открытый файл не является файлом базы данных».

В следующем примере продемонстрировано открытие зашифрованной базы данных в асинхронном режиме выполнения. Для упрощения в этом примере ключ шифрования жестко закодирован в коде приложения. Однако настоятельно не рекомендуется применять эту технологию, поскольку она не безопасна.

import flash.data.SQLConnection; 
import flash.data.SQLMode; 
import flash.events.SQLErrorEvent; 
import flash.events.SQLEvent; 
import flash.filesystem.File; 
     
var conn:SQLConnection = new SQLConnection(); 
conn.addEventListener(SQLEvent.OPEN, openHandler); 
conn.addEventListener(SQLErrorEvent.ERROR, errorHandler); 
var dbFile:File = File.applicationStorageDirectory.resolvePath("DBSample.db"); 
     
var encryptionKey:ByteArray = new ByteArray(); 
encryptionKey.writeUTFBytes("Some16ByteString"); // This technique is not secure! 
     
conn.openAsync(dbFile, SQLMode.UPDATE, null, false, 1024, encryptionKey); 
     
function openHandler(event:SQLEvent):void 
{ 
    trace("the database opened successfully"); 
} 
     
function errorHandler(event:SQLErrorEvent):void 
{ 
    if (event.error.errorID == 3138) 
    { 
        trace("Incorrect encryption key"); 
    } 
    else 
    { 
        trace("Error message:", event.error.message); 
        trace("Details:", event.error.details); 
    } 
} 

В следующем примере продемонстрировано открытие зашифрованной базы данных в синхронном режиме выполнения. Для упрощения в этом примере ключ шифрования жестко закодирован в коде приложения. Однако настоятельно не рекомендуется применять эту технологию, поскольку она не безопасна.

import flash.data.SQLConnection; 
import flash.data.SQLMode; 
import flash.filesystem.File; 
     
var conn:SQLConnection = new SQLConnection(); 
var dbFile:File = File.applicationStorageDirectory.resolvePath("DBSample.db"); 
     
var encryptionKey:ByteArray = new ByteArray(); 
encryptionKey.writeUTFBytes("Some16ByteString"); // This technique is not secure! 
     
try 
{ 
    conn.open(dbFile, SQLMode.UPDATE, false, 1024, encryptionKey); 
    trace("the database was created successfully"); 
} 
catch (error:SQLError) 
{ 
    if (error.errorID == 3138) 
    { 
        trace("Incorrect encryption key"); 
    } 
    else 
    { 
        trace("Error message:", error.message); 
        trace("Details:", error.details); 
    } 
} 

В качестве примера, демонстрирующего рекомендуемый способ создания ключа шифрования, см. раздел Пример: создание и использование ключа шифрования.

Если база данных зашифрована, можно изменить ключ для ее шифрования в последующем. Для изменения ключа шифрования базы данных прежде всего откройте соединение к этой базе данных, создав экземпляр объекта SQLConnection и вызвав для него методы open() или openAsync(). Как только соединение с базой данных будет открыто, вызовите метод reencrypt(), передав ему в качестве аргумента новый ключ шифрования.

Так же, как и для большинства операций с базой данных, поведение метода reencrypt() зависит от того, будет ли соединение с базой данных использовать синхронный или асинхронный режимы выполнения. Если для соединения с базой данных используется метод open(), операция reencrypt() выполняется в синхронном режиме. Когда эта операция завершается, продолжается выполнение следующей строки программного кода:

var newKey:ByteArray = new ByteArray(); 
// ... generate the new key and store it in newKey 
conn.reencrypt(newKey);

Однако, если соединение с базой данных открыто с помощью метода openAsync(), операция reencrypt() выполняется в асинхронном режиме. Вызов reencrypt() начинает процесс перешифрования. Когда эта операция завершается, объект SQLConnection отправляет событие reencrypt. Для определения того, не завершилось ли перешифрование, используется процесс прослушивания событий:

var newKey:ByteArray = new ByteArray(); 
// ... generate the new key and store it in newKey 
     
conn.addEventListener(SQLEvent.REENCRYPT, reencryptHandler); 
     
conn.reencrypt(newKey); 
     
function reencryptHandler(event:SQLEvent):void 
{ 
    // save the fact that the key changed 
}

Операция reencrypt() выполняется в собственной отдельной транзакции. Если операция прерывается или завершается со сбоем (например, если приложение закрывается до завершения операции), выполняется откат этой транзакции. В этом случае исходный ключ шифрования по-прежнему является ключом шифрования базы данных.

Метод reencrypt() может использоваться для устранения шифрования из базы данных. Если передать значение null или ключ шифрования, который содержит не 16-байтовый ByteArray, в метод reencrypt(), произойдет ошибка.

В разделе Использование зашифрованной базы данных представлено несколько случаев, в которых может потребоваться использование зашифрованной базы данных. Очевидно, что использование сценариев в различных приложениях (включая эти и другие сценарии) предполагает различные требования к конфиденциальности. Способ, которым проектируется использование шифрования в приложении, играет важную роль в управлении тем, насколько конфиденциальной будет база данных. Например, если зашифрованная база данных используется для конфиденциального хранения личных данных, защищая их даже от других пользователей данного компьютера, тогда каждому пользователю базы данных требуется свой собственный ключ шифрования. Для обеспечения максимального уровня безопасности приложение может создавать ключ шифрования из введенного пользователем пароля. Создание ключа безопасности на основе пароля обеспечивает уровень защиты, при котором даже если один пользователь попытается выдать себя за другого, он все равно не сможет обратиться к чужим данным. Альтернативным уровнем безопасности является ситуация, когда требуется, чтобы файлы данных были доступны на чтение другим пользователям этого приложения, но не других приложений. В этом случае каждой установленной копии приложения требуется доступ к совместно используемому ключу шифрования.

Можно спроектировать приложение, а в особенности технику создания ключа шифрования, в соответствии с уровнем безопасности, который требуется для данных приложения. В следующем списке представлены предпосылки для различных уровней конфиденциальности данных.

• Чтобы сделать базу данных доступной для любого пользователя, имеющего доступ к этому приложению на любом компьютере, используйте один ключ шифрования, который будет доступен для всех экземпляров приложения. Например, при первом запуске приложение может загружать общий ключ шифрования с сервера, используя защищенный протокол, например SSL. Затем приложение может сохранять ключ в зашифрованном локальном хранилище для последующего использования. В качестве альтернативы можно шифровать данные для каждого пользователя компьютера и синхронизировать их с удаленным хранилищем данных, например сервером, который обеспечивает перенос данных.

• Чтобы сделать базу данных доступной только для одного пользователя компьютера, создайте ключ шифрования из секретного слова пользователя (например, из пароля). В частности, для создания ключа не следует использовать какие-либо значения, связанные с данным компьютером (например, значения, хранимые в зашифрованном локальном хранилище). В качестве альтернативы можно шифровать данные для каждого пользователя компьютера и синхронизировать их с удаленным хранилищем данных, например сервером, который обеспечивает перенос данных.

• Чтобы сделать базу данных доступной только для одного пользователя с одного компьютера, создайте ключ шифрования из пароля. Пример этой методики см. в разделе Пример: создание и использование ключа шифрования.

Далее изложены дополнительные соображения безопасности, которые важно учитывать при разработке приложения для работы с зашифрованной базой данных:

• Оценка защищенности системы всегда осуществляется по ее наиболее уязвимому месту. Если для создания ключа шифрования используется вводимый пользователем пароль, предусмотрите проверку ограничений на минимальную длину и сложность паролей. Короткие пароли, состоящие из простых символов, легко могут быть угаданы.

• Исходный код приложения AIR хранится на компьютере пользователя в виде плоского текста (для HTML-содержимого) или в виде легко декомпилируемого двоичного формата (для SWF-содержимого). Поскольку возможен доступ к исходному коду, необходимо учитывать два аспекта:

  • Никогда не кодируйте жестко ключ шифрования в исходный код

  • Всегда допускайте, что методика, используемая для создания ключа шифрования (например, генератор произвольных символов или определенный алгоритм хэширования) может быть легко воссоздана злоумышленником

• Шифрование в базах данных AIR использует стандарт AES в режиме CCM. Для обеспечения безопасности код шифрования требует комбинации вводимого пользователем ключа и солт-значения. Пример этой методики см. в разделе Пример: создание и использование ключа шифрования.

• Если принято решение о шифровании базы данных, все файлы на диске, используемые ядром этой базы, шифруются. Но база данных временно удерживает некоторые данные в кэше памяти, чтобы повысить производительность чтения и записи при выполнении транзакций. Все находящиеся в памяти данные не зашифрованы. Если злоумышленник получит возможность доступа к памяти, используемой приложением AIR, например с помощью программы отладки, ему будет доступна та информация из базы данных, которая в данный момент открыта и не зашифрована.

Этот пример демонстрирует одну из методик создания ключа шифрования. Приложение спроектировано для обеспечения максимального уровня конфиденциальности и безопасности данных пользователя. Одним из важнейших аспектов защиты конфиденциальных данных является требование к пользователю вводить пароль при каждом подключении приложения к базе данных. Следовательно, как показано в этом примере, приложение, которому требуется этот уровень конфиденциальности, никогда не должно обычным способом сохранять ключ шифрования базы данных.

Приложение состоит из двух частей: класса ActionScript, создающего ключ шифрования (класс EncryptionKeyGenerator), и простейшего пользовательского интерфейса, демонстрирующего, как применять этот класс. Полный исходный код см. в разделе Комплексный пример программного кода, создающего и использующего ключ шифрования.