PolarDB:Comparação entre diferentes métodos de criptografia de banco de dados

Criptografia de disco (criptografia em repouso — camada IaaS)

A criptografia de disco opera na camada de Infrastructure as a Service (IaaS). Ao criar um disco em nuvem com uma instância ECS ou anexar separadamente um disco de dados, a ativação da criptografia faz com que o sistema operacional (SO) da instância ECS criptografe automaticamente os dados antes de gravá-los no disco e os descriptografe durante a leitura. Esse processo é transparente tanto para o banco de dados quanto para as aplicações.

Esse método protege contra invasores que obtêm acesso físico ao hardware subjacente, como um engenheiro de plataforma que copia dados diretamente de um disco em nuvem. Ele não protege contra administradores de banco de dados (DBAs) ou administradores de SO, pois esses acessam os dados por meio do mecanismo de banco de dados ou do sistema de arquivos.

Para obter detalhes sobre a configuração, consulte Cloud disk encryption.

TDE (criptografia em repouso — camada PaaS)

A Transparent Data Encryption (TDE) opera na camada de Platform as a Service (PaaS). O mecanismo de banco de dados criptografa os dados na memória antes de gravá-los no sistema de arquivos e os descriptografa durante a leitura. Os dados em repouso nos arquivos do SO e no disco permanecem sempre como texto cifrado; já os dados na memória do mecanismo de banco de dados continuam como texto simples.

O TDE estende a proteção da criptografia de disco para camadas superiores: ele também impede que administradores de SO leiam dados copiando arquivos de banco de dados ou de backup diretamente do disco. No entanto, DBAs que acessam os dados pelo mecanismo de banco de dados ainda conseguem visualizar o texto simples.

Observações sobre desempenho:

• Os principais fatores incluem o tamanho dos bancos de dados e tabelas criptografados, a configuração do banco de dados e a carga da aplicação.

• Se as tabelas sensíveis couberem no cache de buffer, o impacto no desempenho será mínimo. Caso excederem muito a capacidade do cache, o impacto pode ser significativo.

• Na maioria das cargas de trabalho, o impacto fica abaixo de 5%. Sob cargas extremamente pesadas, pode chegar a 20%.

Para obter detalhes sobre a configuração, consulte Configure TDE.

Criptografia de colunas (criptografia em uso — camada de aplicação)

A criptografia de colunas é a edição básica do recurso de banco de dados sempre confidencial. Ela criptografa os resultados das consultas dentro da memória do mecanismo de banco de dados antes de enviá-los ao cliente, que os descriptografa usando a chave de criptografia. Os dados trafegam entre o banco de dados e a aplicação como texto cifrado, enquanto os dados armazenados no disco e nos arquivos do SO permanecem como texto simples.

Este método bloqueia a maior variedade de invasores: intrusões na camada de aplicação, interceptação de rede, acesso administrativo ao banco de dados e ataques a cópias de desenvolvimento ou teste de dados de produção. É ideal para proteger colunas sensíveis específicas, como números de cartões de pagamento ou documentos de identificação nacional.

Integração com a aplicação: substitua o driver Java Database Connectivity (JDBC) padrão pelo EncJDBC. Nenhuma alteração de código é necessária.

Observações sobre desempenho:

• O impacto no desempenho escala conforme o volume de dados criptografados retornados por consulta, e não pelo tamanho total da tabela ou do banco de dados. Recuperar uma única linha criptografada gera impacto mínimo; retornar um milhão de linhas criptografadas pode causar um impacto significativo.

• Na maioria das cargas de trabalho, o impacto fica abaixo de 7%. Sob cargas extremamente pesadas, pode chegar a 21%.

Para obter uma visão geral do recurso de banco de dados sempre confidencial, consulte Overview.

Visão geral da arquitetura

O diagrama a seguir mostra onde cada método de criptografia atua na pilha do sistema.

• A criptografia de disco atua na camada de SO da instância ECS e de seu host, criptografando e descriptografando arquivos do SO. Aplica-se a todos os clusters cujos discos em nuvem residem nesse host.

• O TDE atua no nível do cluster, criptografando e descriptografando arquivos de banco de dados em cache. Aplica-se a clusters individuais.

• A criptografia de colunas atua no nível do cluster, criptografando resultados de consultas na memória do mecanismo de banco de dados antes de retornar o texto cifrado para a aplicação conectada. Aplica-se a clusters individuais.

Estados dos dados por método de criptografia

O diagrama a seguir ilustra onde os dados estão como texto cifrado ou texto simples em cada método.

• Criptografia de disco: texto cifrado no disco; texto simples nos arquivos do SO e no banco de dados.

• TDE: texto cifrado no disco e nos arquivos do SO; texto simples no banco de dados.

• Criptografia de colunas: texto cifrado nos bancos de dados (exceto no mecanismo); texto simples nos arquivos do SO e no disco. Os dados trafegam como texto cifrado e são armazenados como texto simples.

A combinação da criptografia de colunas com o TDE oferece proteção de dados de ponta a ponta: os dados são criptografados em uso (criptografia de colunas) e em repouso, tanto no sistema de arquivos quanto no disco (TDE).