Usando o Truecrypt para proteger o banco de dados mySQL, quaisquer armadilhas?

Question

O objetivo é proteger os dados do meu banco de dados do roubo do servidor, ou seja, o servidor está em um escritório com bloqueio normal de instalações e alarme, mas como os dados são dados de cuidados pessoais, desejo garantir que o servidor seja roubado os dados não estariam disponíveis como criptografados.

Estou explorando a instalação do mySQL em um volume criptografado Truecrypt montado. Tudo funciona bem, e quando eu desligo, ou simplesmente puxo a ficha cruelmente, a unidade criptografada desaparece.

Isso parece ser mais fácil do que criptografar dados no banco de dados, e eu entendo que, se houver uma falha de segurança no aplicativo da Web, ou se um usuário obtiver acesso físico a um servidor conectado, os dados estarão comprometidos, mas como sanidade verifique se há alguma boa razão para não fazer isso?

@James Eu estou pensando em um cenário de roubo, não vai ser desligado bem e é provável que trave qualquer transação de banco de dados em execução. Mas se alguém roubar o servidor, eu precisarei depender do backup do meu site de qualquer maneira.

@tomjedrz, seu tipo de todos os detalhes pessoais e de endereço confidenciais vinculados a referências / registros médicos. Seria tão ruim em nosso campo quanto perder dados de cartão de crédito, mas significa que quase tudo no banco de dados precisaria de criptografia ... então achei melhor executar o banco de dados inteiro em uma partição criptografada. Se criptografar dados nas tabelas, deve haver uma chave em algum lugar do servidor que estou presumindo, o que parece ser mais arriscado se a caixa andar.

No momento, o aplicativo é configurado para descartar um dump de dados (semanalmente completo e depois deltas apenas por hora usando o rdiff) em um diretório também no disco Truecrypt. Eu tenho uma caixa fora do local executando o WS_FTP Pro programado para conectar por FTPs e sincronizar o backup, novamente em uma partição montada pelo Truecrypt.

    

Answer 1

Estamos executando o mySQL em um volume protegido pela criptografia de todo o disco da Truecrypt desde que o adicionaram como um recurso. Antes disso, mantivemos os dados em um volume separado, criptografado por TC. Ele está funcionando na mesma caixa há mais de 6 anos e tem sido incrivelmente robusto e tolerante a coisas como desligamento, degradação de RAID (controlador de hardware com RAID 1) e falha de hardware. O desempenho atingido por nós tem sido insignificante (alguns até argumentam que os discos criptografados com TrueCrypt têm um desempenho melhor, mas eu não iria tão longe), seja em um laptop criptografado ou em um servidor.

O ponto principal do nosso ponto de vista (também estamos na área de saúde) é que a criptografia de disco é apenas uma camada de segurança em nosso arsenal, mas potencialmente importante se a segurança física for comprometida. Certamente há muitos cenários em que os dados podem ser roubados de um sistema em execução com uma unidade criptografada, mas mitiga a ameaça de perda de dados devido a um simples roubo, o que poderia ser mais provável do que muitos outros riscos que você ainda deseja mitigar contra. Por essa razão, criptografamos todos os nossos servidores - TrueCrypt for Windows, LVM criptografado para GNU / Linux.

    

Answer 2

Eu adoro o TrueCrypt, mas não vejo muita exposição reduzida e uma quantidade não trivial de risco adicional devido ao chave , erros e possíveis problemas de atualização e degradação do desempenho .

A única criptografia de unidade inteira com risco atenua a perda de dados quando a unidade ou o computador é perdido. IMHO que o risco é significativo apenas quando o computador é móvel. Se a segurança física e do sistema for boa, então o IMHO que criptografar a unidade na qual o banco de dados está armazenado não lhe custa muito.

O que eu faria se fosse possível implementar a criptografia no banco de dados para informações confidenciais, de modo que, se alguém conseguir invadir a caixa ou acessar remotamente os dados, fique sem sorte.

    

Answer 3

Eu sei que o SQL Server não fecha conexões com os arquivos do banco de dados até que o banco de dados seja encerrado. Isso tem o efeito de que o registro de data e hora não é atualizado, portanto, não é possível fazer o backup do SQL Server efetivamente, sem interromper os serviços. Eu sei que não é isso que você está perguntando, mas é o que eu sei que acontece. Devido ao mesmo problema, eu acho que há uma grande chance de corrupção se você desconectar o volume de repente, então eu não recomendaria fazer isso - executá-lo a partir de um volume TrueCrypt deve ficar bom desde que você tenha tempo de parar o serviço antes de desmontar.