Använda kryptering med SQL-databaser

Kryptering är användbart om du vill begränsa åtkomsten till informationen som lagras i en databas. Databaskrypteringsfunktionen i Adobe AIR kan användas för många ändamål. Här följer några exempel på situationer då det kan vara praktiskt att använda en krypterad databas:

• En skrivskyddad cache med privata programdata som hämtas från en server.

• Ett lokalt programarkiv för privata data som synkroniseras med en server (data skickas till och läses in från servern).

• Krypterade filer som används som filformatet för dokument som skapas och redigeras av programmet. Filerna kan vara privata för en användare, eller delas av alla som använder programmet.

• Annan användning av en lokal datalagringsplats, t.ex. de som beskrivs i avsnittet Användningsområden för lokala SQL-databaser, där informationen måste skyddas från användare som har åtkomst till datorn eller databasfilerna.

Om du förstår när och varför det kan vara praktiskt att använda en krypterad databas blir det lättare att bestämma hur programmet ska struktureras. Detta kan exempelvis påverka hur krypteringsnyckeln för databasen skapas, hämtas eller lagras av programmet. Mer information finns i avsnittet Att tänka på när du använder kryptering med en databas.

I stället för att använda en krypterad databas kan du skydda känsliga data med hjälp av den krypterade, lokala lagringsplatsen. Med den krypterade, lokala lagringsplatsen lagrar du ett enskilt ByteArray-värde med hjälp av en String-nyckel. Värdet är bara tillgängligt för det AIR-program som skapat värdet, och endast på den dator som det lagras på. Med den krypterade lokala lagringsplatsen behöver du inte skapa din egen krypteringsnyckel. Dessa anledningar gör att den krypterade lokala lagringsplatsen passar särskilt bra för att enkelt lagra ett enskilt värde eller en uppsättning värden som lätt kan kodas i en bytearray. En krypterad databas passar bäst för större datauppsättningar där strukturerad datalagring och datafrågor används. Mer information om hur du använder den krypterade lokala lagringsplatsen finns i avsnittet Krypterad lokal lagringsplats.

Du kan bara använda en krypterad databas om databasen krypterades när den skapades. En okrypterad databas kan inte krypteras senare. På motsvarande sätt kan en krypterad databas inte dekrypteras senare. Om det behövs kan du ändra krypteringsnyckeln för en krypterad databas. Mer information finns i avsnittet Ändra krypteringsnyckeln för en databas. Om du har en befintlig databas som inte är krypterad och du vill använda databaskryptering kan du skapa en ny krypterad databas och kopiera den befintliga tabellstrukturen och data till den nya databasen.

Du skapar en krypterad databas på praktiskt taget samma sätt som en okrypterad databas. Mer information finns i avsnittet Skapa en databas. Först skapar du en SQLConnection-instans som representerar anslutningen till databasen. Du skapar databasen genom att anropa SQLConnection-objektets open()-metod eller openAsync()-metod och anger en fil som inte finns än för databasplatsen. Den enda skillnaden när du skapar en krypterad databas är att du anger ett värde för encryptionKey-parametern (open()-metodens femte parameter och openAsync()-metodens sjätte parameter).

Ett giltigt encryptionKey-parametervärde är ett ByteArray-objekt som innehåller exakt 16 byte.

I följande exempel visas hur en krypterad databas skapas. För enkelhetens skull är krypteringsnyckeln hårdkodad i programkoden i de här exemplen. Den här tekniken rekommenderas emellertid inte eftersom den inte är säker.

var conn:SQLConnection = new SQLConnection(); 
     
var encryptionKey:ByteArray = new ByteArray(); 
encryptionKey.writeUTFBytes("Some16ByteString"); // This technique is not secure! 
     
// Create an encrypted database in asynchronous mode 
conn.openAsync(dbFile, SQLMode.CREATE, null, false, 1024, encryptionKey); 
     
// Create an encrypted database in synchronous mode 
conn.open(dbFile, SQLMode.CREATE, false, 1024, encryptionKey);

Ett exempel som illustrerar en rekommenderad metod för genereringen av en krypteringsnyckel finns i avsnittet Exempel: Generera och använda en krypteringsnyckel..

Precis som när du skapar en krypterad databas, ansluter du till krypterade och okrypterade databaser på samma sätt. Den här proceduren beskrivs i detalj i avsnittet Ansluta till en databas. Du använder open()-metoden om du vill öppna en anslutning i synkront körningsläge och openAsync()-metoden om du vill öppna en anslutning i asynkront körningsläge. Den enda skillnaden när du öppnar en krypterad databas är att du anger korrekt värde för encryptionKey-parametern (open()-metodens femte parameter och openAsync()-metodens sjätte parameter).

Om en felaktig krypteringsnyckel anges returneras ett fel. Om du använder open()-metoden genereras ett SQLError-undantag. Om du använder openAsync()-metoden skickar SQLConnection-objektet ett SQLErrorEvent-objekt, vars error-egenskap innehåller ett SQLError-objekt. I båda fallen har SQLError-objektet som genereras errorID-egenskapsvärdet 3138. Fel-ID:t hör till felmeddelandet "Filen som öppnats är inte en databasfil".

Följande exempel illustrerar hur du öppnar en krypterad databas i asynkront körningsläge. För enkelhetens skull är krypteringsnyckeln hårdkodad i programkoden i det här exemplet. Den här tekniken rekommenderas emellertid inte eftersom den inte är säker.

import flash.data.SQLConnection; 
import flash.data.SQLMode; 
import flash.events.SQLErrorEvent; 
import flash.events.SQLEvent; 
import flash.filesystem.File; 
     
var conn:SQLConnection = new SQLConnection(); 
conn.addEventListener(SQLEvent.OPEN, openHandler); 
conn.addEventListener(SQLErrorEvent.ERROR, errorHandler); 
var dbFile:File = File.applicationStorageDirectory.resolvePath("DBSample.db"); 
     
var encryptionKey:ByteArray = new ByteArray(); 
encryptionKey.writeUTFBytes("Some16ByteString"); // This technique is not secure! 
     
conn.openAsync(dbFile, SQLMode.UPDATE, null, false, 1024, encryptionKey); 
     
function openHandler(event:SQLEvent):void 
{ 
    trace("the database opened successfully"); 
} 
     
function errorHandler(event:SQLErrorEvent):void 
{ 
    if (event.error.errorID == 3138) 
    { 
        trace("Incorrect encryption key"); 
    } 
    else 
    { 
        trace("Error message:", event.error.message); 
        trace("Details:", event.error.details); 
    } 
} 

Följande exempel illustrerar hur du öppnar en krypterad databas i synkront körningsläge. För enkelhetens skull är krypteringsnyckeln hårdkodad i programkoden i det här exemplet. Den här tekniken rekommenderas emellertid inte eftersom den inte är säker.

import flash.data.SQLConnection; 
import flash.data.SQLMode; 
import flash.filesystem.File; 
     
var conn:SQLConnection = new SQLConnection(); 
var dbFile:File = File.applicationStorageDirectory.resolvePath("DBSample.db"); 
     
var encryptionKey:ByteArray = new ByteArray(); 
encryptionKey.writeUTFBytes("Some16ByteString"); // This technique is not secure! 
     
try 
{ 
    conn.open(dbFile, SQLMode.UPDATE, false, 1024, encryptionKey); 
    trace("the database was created successfully"); 
} 
catch (error:SQLError) 
{ 
    if (error.errorID == 3138) 
    { 
        trace("Incorrect encryption key"); 
    } 
    else 
    { 
        trace("Error message:", error.message); 
        trace("Details:", error.details); 
    } 
} 

Ett exempel som illustrerar en rekommenderad metod för genereringen av en krypteringsnyckel finns i avsnittet Exempel: Generera och använda en krypteringsnyckel..

Om en databas är krypterad kan du ändra krypteringsnyckeln för databasen vid ett senare tillfälle. Om du vill ändra databasens krypteringsnyckel öppna du först en anslutning till databasen genom att skapa en SQLConnection-instans och anropa dess open()- eller openAsync()-metod. När databasanslutningen har upprättats anropar du reencrypt()-metoden och anger den nya krypteringsnyckeln som ett argument.

Som med de flesta databasåtgärder varierar reencrypt()-metodens beteende beroende på om synkront eller asynkront körningsläge används för databasanslutningen. Om du använder open()-metoden för att ansluta till databasen körs reencrypt()-åtgärden synkront. När åtgärden har slutförts exekveras nästa rad i koden:

var newKey:ByteArray = new ByteArray(); 
// ... generate the new key and store it in newKey 
conn.reencrypt(newKey);

Om du i stället upprättar databasanslutningen med openAsync()-metoden körs reencrypt()-åtgärden asynkront. Omkrypteringen startar när reencrypt() anropas. När åtgärden slutförts skickar SQLConnection-objektet en reencrypt-händelse. Du använder en händelseavlyssnare för att kontrollera när omkrypteringen är färdig:

var newKey:ByteArray = new ByteArray(); 
// ... generate the new key and store it in newKey 
     
conn.addEventListener(SQLEvent.REENCRYPT, reencryptHandler); 
     
conn.reencrypt(newKey); 
     
function reencryptHandler(event:SQLEvent):void 
{ 
    // save the fact that the key changed 
}

reencrypt()-åtgärden körs i en egen transaktion. Om åtgärden avbryts eller misslyckas (till exempel om programmet stängs innan åtgärden slutförts) återställs transaktionen. I så fall används den ursprungliga krypteringsnyckeln för databasen.

reencrypt()-metoden kan inte användas för att ta bort krypteringen från en databas. Om ett null-värde eller en krypteringsnyckel som inte är en bytearray på 16 byte skickas till reencrypt()-metoden returneras ett fel.

I avsnittet Användningsområden för en krypterad databas illustreras olika situationer då du bör använda en krypterad databas. Självklart har användningsscenarierna för olika program (även dessa och andra scenarier) olika sekretesskrav. Hur du strukturerar användningen av eventuell kryptering i programmet avgör i hög grad hur privat informationen i en databas är. Om du till exempel använder en krypterad databas för att skydda personliga data, även från andra användare på samma dator, behöver varje användares databas en egen krypteringsnyckel. Högst säkerhet erhålls om programmet genererar nyckeln från ett lösenord som anges av användaren. Om krypteringsnyckeln baseras på ett lösenord är informationen inte åtkomlig även om någon lyckas personifiera användarens konto på datorn. Andra gånger kanske du tvärtom vill att en databasfil ska kunna läsas av alla som använder programmet, men inte av andra program. I så fall behöver alla installerade kopior av programmet åtkomst till en delad krypteringsnyckel.

Du kan utforma programmet, och teknikerna som används för att generera krypteringsnyckeln, i enlighet med den sekretessnivå som krävs för programinformationen. Följande lista innehåller designförslag för olika sekretessnivåer:

• Om du vill att en databas ska vara tillgänglig för alla användare som har åtkomst till programmet på alla datorer, använder du en enda nyckel som är tillgänglig för alla programinstanser. Första gången ett program körs kan den delade krypteringsnyckeln hämtas från en server med hjälp av ett säkert protokoll, t.ex. SSL. Därefter kan nyckeln sparas på den krypterade lokala lagringsplatsen för framtida användning. Ett annat alternativ är att kryptera informationen för de enskilda användarna på datorn och synkronisera informationen med ett dataarkiv på en fjärrdator, t.ex. en server, så att informationen blir portabel.

• Om du vill att databasen ska vara tillgänglig för en enskild användare på alla datorer genererar du krypteringsnyckeln från en användarhemlighet, t.ex. ett lösenord. Generera inte nyckeln baserat på ett värde som är kopplat till en särskild dator (t.ex. ett värde som lagras på den krypterade lokala lagringsplatsen). Ett annat alternativ är att kryptera informationen för de enskilda användarna på datorn och synkronisera informationen med ett dataarkiv på en fjärrdator, t.ex. en server, så att informationen blir portabel.

• Om du vill att en databas bara ska vara tillgänglig för en särskild användare på en enskild dator genererar du nyckeln från ett lösenord och ett genererat salt-värde. Ett exempel på den här tekniken finns i avsnittet Exempel: Generera och använda en krypteringsnyckel..

Nedan följer ytterligare säkerhetsaspekter som är viktiga att ha i åtanke när du utformar ett program som ska använda en krypterad databas:

• Ett system är bara så säkert som dess svagaste länk. Om krypteringsnyckeln genereras baserat på ett användardefinierat lösenord bör du definiera krav på komplexitet och minsta tillåtna längd för lösenorden. Ett kort lösenord som bara innehåller vanliga tecken är inte svårt att lista ut.

• Källkoden för ett AIR-program lagras på en användares dator som oformaterad text (för HTML-innehåll) eller som en binärfil som enkelt kan dekompileras (för SWF-innehåll). Eftersom källkoden är åtkomlig bör du tänka på följande två saker:

  • Hårdkoda aldrig en krypteringsnyckel i källkoden.

  • Förutsätt alltid att tekniken som används för att generera en krypteringsnyckel (t.ex. program som genererar slumpmässiga tecken eller en särskild hash-algoritm) inte innebär några större svårigheter för en angripare.

• Databaskrypteringen i AIR baseras på AES (Advanced Encryption Standard) med CCM-läge (Counter with CBC-MAC). För att det här krypteringschiffret ska vara säkert krävs en användardefinierad nyckel som kombineras med ett salt-värde. Ett exempel finns i avsnittet Exempel: Generera och använda en krypteringsnyckel..

• När du väljer att kryptera en databas krypteras alla hårddiskfiler som används av databasmotorn i kombination med den databasen. För att förbättra läs- och skrivtiderna i transaktioner sparas emellertid en del data tillfälligt i ett cacheminne. Informationen i cacheminnet är inte krypterad. Om en angripare lyckas få åtkomst till minnet som används av ett AIR-program, t.ex. med hjälp av en felsökare, kan han eller hon komma åt informationen i en öppen databas som inte är krypterad.

Det här exempelprogrammet demonstrerar en teknik som du kan använda för att generera en krypteringsnyckel. Med det här programmet används en hög sekretess- och säkerhetsnivå för att skydda användarnas data. En viktig aspekt vid säkring av privat information är kravet att användaren måste ange ett lösenord varje gång programmet ansluter till databasen. Därför, vilket visas i det här exemplet, ska ett program med den här sekretessnivån aldrig direkt lagra krypteringsnyckeln för databasen.

Programmet består av två delar: en ActionScript-klass som genererar en krypteringsnyckel (klassen EncryptionKeyGenerator), och ett grundläggande användargränssnitt som visar hur den klassen används. Den fullständiga källkoden finns i Fullständig exempelkod för generering och användning av en krypteringsnyckel.