Как ускорить выборку из базы данных асимметрично зашифрованных данных?

Question

[Bisekenov]

Имеется база пользователей, таблица users. ФИО, телефон и эл.почта зашифровал асиммитричным методом.
Теперь при выборе записи запрос выполняется 38-50 секунд.
Пример запроса:

select * from odo.users 
where asymmetric_decrypt(iin2)='020103500789'

Из за требовании ИБ необходимо использовать асимметричное шифрование.
зашифрованные данные сохраняю в типе данных text.

Можно ли как то ускорить процесс?

Comments

[Everything_is_bad]

Ну дык, сами придумали извращаться теперь и страдайте. Создание любого индекса, даже на основе хеша, делает бессмысленным твое шифрование. Это не считая того как у вас там хранятся ключи для расшифровки, часто в этом тоже ошибка.
Разбирайтесь с данными, может не все имеет смысл шифровать? особенно те по которым требуется поиск

[Bisekenov]

такой вопрос, если буду использовать симметричное шифрование, то должен ли шифровать асиммитрично ключ симметричного шифрования?
Например создал функцию для шифрования:

-- Создание функции для шифрования
CREATE OR REPLACE FUNCTION sym_enc(input_data text)
RETURNS text AS $$
BEGIN
  RETURN pgp_sym_encrypt(input_data,'\xbdc1d8cbc82a89444dd33425b764fa59');
END;
$$ LANGUAGE plpgsql;

и для расшифрования:

-- Создание функции для расшифровки
CREATE OR REPLACE FUNCTION sym_dec(encrypted_data text)
RETURNS text AS $$
BEGIN
  RETURN pgp_sym_decrypt(encrypted_data::BYTEA, '\xbdc1d8cbc82a89444dd33425b764fa59');
END;
$$ LANGUAGE plpgsql;

\xbdc1d8cbc82a89444dd33425b764fa59 - это мой ключ который используется для шифрования и расшифрования. Могу ли я его хранить в базе в процедуре или с точки зрения ИБ должен и ключ зашифровать асиммитрично?

[freeExec]

Bisekenov, Если ключ лежит в базе, то в чём вообще смысл, он же вместе с базой и утекает

Answer 1

[ky0]

Что это за требование такое? Банковская сертификация PCI DSS, например, вполне себе не запрещает хранить ФИО и т.п. в базах незашифрованными. Скажите айтисекам, чтобы не выдумывали.

Comments

[Bisekenov]

такой вопрос, если буду использовать симметричное шифрование, то должен ли шифровать асиммитрично ключ симметричного шифрования?
Например создал функцию для шифрования:

-- Создание функции для шифрования
CREATE OR REPLACE FUNCTION sym_enc(input_data text)
RETURNS text AS $$
BEGIN
  RETURN pgp_sym_encrypt(input_data,'\xbdc1d8cbc82a89444dd33425b764fa59');
END;
$$ LANGUAGE plpgsql;

и для расшифрования:

-- Создание функции для расшифровки
CREATE OR REPLACE FUNCTION sym_dec(encrypted_data text)
RETURNS text AS $$
BEGIN
  RETURN pgp_sym_decrypt(encrypted_data::BYTEA, '\xbdc1d8cbc82a89444dd33425b764fa59');
END;
$$ LANGUAGE plpgsql;

\xbdc1d8cbc82a89444dd33425b764fa59 - это мой ключ который используется для шифрования и расшифрования. Могу ли я его хранить в базе в процедуре или с точки зрения ИБ должен и ключ зашифровать асиммитрично?

Answer 2

[rPman]

Так как у тебя сравнение строгое, не нужно дешифровать поле, нужно зашифровать сравниваемое значение. С точки зрения запроса это константа, шифрование пройдет однократно а на поиск будет использоваться индексы.

Подход шифрования выбран неправильно, вместо шифрования значений, нужно шифровать всю базу данных средствами ос. При запуске базы данных будет требовать пароль, но вся работа будет как не шифрованной базой

Comments

[Bisekenov]

такой вопрос, если буду использовать симметричное шифрование, то должен ли шифровать асиммитрично ключ симметричного шифрования?
Например создал функцию для шифрования:

-- Создание функции для шифрования
CREATE OR REPLACE FUNCTION sym_enc(input_data text)
RETURNS text AS $$
BEGIN
  RETURN pgp_sym_encrypt(input_data,'\xbdc1d8cbc82a89444dd33425b764fa59');
END;
$$ LANGUAGE plpgsql;

и для расшифрования:

-- Создание функции для расшифровки
CREATE OR REPLACE FUNCTION sym_dec(encrypted_data text)
RETURNS text AS $$
BEGIN
  RETURN pgp_sym_decrypt(encrypted_data::BYTEA, '\xbdc1d8cbc82a89444dd33425b764fa59');
END;
$$ LANGUAGE plpgsql;

\xbdc1d8cbc82a89444dd33425b764fa59 - это мой ключ который используется для шифрования и расшифрования. Могу ли я его хранить в базе в процедуре или с точки зрения ИБ должен и ключ зашифровать асиммитрично?

[freeExec]

Шифрование ОС спасает от ситуации, я вынут диск и ушёл. А если я смог запустить pg_dump то что мне от твоего шифрования раздела?

[rPman]

Тогда у тебя только один путь - гомоморфное шифрование, возможность выполнять операции над зашифрованными данными без из расшифровки.

Точно помню было какое то решение для postgres, очень давно и маловероятно что поддерживается.

P.s. твое текущее решение тоже не надёжно, злоумышленник подменяет код база данных и ворует данные в процессе их запросов, например ключи шифрования