ApsaraDB RDS for PostgreSQL, şeffaf veri şifreleme (TDE) özelliğini destekler. Kullanıcıların veri gizliliğini korumak amacıyla veri dosyalarını gerçek zamanlı olarak şifrelemek ve şifresini çözmek için TDE'yi kullanabilirsiniz. Bu konuda TDE terimleri ile şifreleme ve şifre çözme ilkeleri açıklanmaktadır.
Özellik açıklaması
TDE, veri dosyalarında gerçek zamanlı G/Ç şifreleme ve şifre çözme işlemleri gerçekleştirir. TDE, veritabanı katmanında duran verilerin şifrelenmesini sağlar. Bu sayede saldırganların veritabanını atlayarak depolama alanındaki hassas bilgileri okuması engellenir. TDE, kimliği doğrulanmış uygulamaların ve kullanıcıların şifre çözme işlemi için uygulama kodunda veya yapılandırmalarda değişiklik yapmasına gerek kalmadan düz metin uygulama verilerine erişmesine olanak tanır. Ancak TDE, tablespace dosyaları içindeki hassas bilgileri okumaya çalışan işletim sistemi (OS) kullanıcılarının ve yedekleme verileri ile disk üzerindeki verileri okumaya çalışan yetkisiz kullanıcıların düz metin verilere erişimini engeller.
Şeffaf: Veriler diske yazıldığında otomatik olarak şifrelenir ve diskten okunduğunda şifresi çözülür. Şifreleme ve şifre çözme süreçleri kullanıcılar tarafından algılanmaz.
-
Veri şifreleme: Key Management Service (KMS) tarafından sağlanan hizmet anahtarı veya KMS'e yüklediğiniz özel anahtar kullanılarak veri dosyaları şifrelenir.
NotTDE için kullanılan anahtar KMS tarafından oluşturulur ve yönetilir. ApsaraDB RDS, şifreleme için gerekli anahtarları veya sertifikaları sağlamaz.
ApsaraDB RDS for PostgreSQL, Aliyun_AES_256 ve Aliyun_SM4 türündeki anahtarları destekler.
Avantajlar
TDE özelliği aşağıdaki avantajları sunar:
Tablo düzeyinde şifreleme ve dizin düzeyinde şifreleme: Tabloları ve dizinleri şifrelemek ve şifresini çözmek için TDE'yi kullanabilirsiniz.
Birden çok nesnenin aynı anda şifrelenmesi ve şifresinin çözülmesi: Bir tablodaki tüm dizinleri aynı anda şifrelemek ve şifresini çözmek için TDE'yi kullanabilirsiniz. Ayrıca bir veritabanındaki tüm tabloları şifrelemek ve şifresini çözmek için de TDE'yi kullanabilirsiniz.
Düşük performans kaybı: TDE etkinleştirildiğinde performans hafifçe etkilenir. Normal iş senaryolarında şifrelenmiş tabloların performans kaybı yaklaşık %4'tür.
İlke
Terimler
Anahtar şifreleme anahtarı (KEK): Veri şifreleme anahtarlarını (DEK) şifrelemek için KMS hizmet anahtarını veya bir müşteri ana yönetici anahtarını (CMK) kullanabilirsiniz.
DEK: Verileri şifrelemek ve şifresini çözmek için veritabanı tarafından oluşturulur.
Süreç
Tüm şifreleme ve şifre çözme işlemleri bellekte gerçekleştirilir. Bellekteki veriler düz metin, diskteki veriler ise şifreli metindir. Bu durum, disk çalındığında veri sızıntılarını önlemeye yardımcı olur. Veritabanının kullanım şeklini değiştirmenize gerek yoktur.
Veritabanı başladığında, DEK'nin şifresini çözmek üzere KEK KMS'den alınır. Şifresi çözülmüş DEK bellekte saklanır ve veriler yazılırken veya okunurken verileri şifrelemek ya da şifresini çözmek için kullanılır.
