云服务上“rest”数据库的MySQL加密

Question

我们正在将我们的系统迁移到云环境(AWS)，并为我们的MySQL数据进行加密提供了新的客户需求。

目前还不清楚这应该走多远。启用磁盘加密将非常简单，但是内部争论说，这实际上只会减轻磁盘被盗(无论是物理上还是其他方面)，而不是防止服务器崩溃。

使用MySQL实现DB层加密似乎只有有限的选项(或者更准确地说，它减少了MariaDB或Percona之类的替换)，而且目前还存在一些缺陷(例如，绑定日志和缓存没有加密)。此外，应用程序层加密将是一个巨大的开销，因为绝大多数查询搜索的字段被认为是敏感的，因此需要加密。

在云环境中加密MySQL数据库上的敏感数据的当前公认方法是什么？请注意，这不是指RDS。

Answer 1

rest加密不能解决服务器漏洞，它只是为了减少以下情况

• 物理数据存储被盗，以及
• 未经授权的人员，例如云技术人员访问数据。

MariaDB加密也不能有效地处理，因为窃取驱动器将有效地提供对系统的根访问，包括对加密密钥的访问和对数据库的完全不受限制的访问。云技术人员也是如此，他们可以通过分析底层数据存储来访问系统的备份副本或监视文件系统。MariaDB加密可以将入侵风险降到最低，但是为了访问驱动器或mysql文件，攻击者必须具有根用户权限或至少mysql用户权限，并且不仅访问文件，而且在这种情况下还访问加密密钥。

确保rest加密的一个好方法是使用dm-crypt (或等量)对数据库文件所在的分区进行操作系统加密，并由授权操作员在系统或关系数据库管理系统启动时手动输入密码(即根本没有存储在系统中的密钥)。该系统对服务器漏洞并不特别有效，但它使数据在发生物理存储被盗或访问系统备份或底层数据存储时完全安全。

Answer 2

看来Percona和MySQL确实有您提到的不加密所有数据的限制，但MariaDB有。我使用MariaDB 10.1作为一个实时的离站复制从站，所有的数据都是加密的，包括二进制日志、中继日志、撤消日志、重做日志、临时表、临时文件和数据文件。有关rest加密中的MariaDB数据的更多信息可在https://mariadb.com/kb/en/mariadb/data-at-rest-encryption/上获得。