Стратегии шифрования с Django + Postgres?

Question

Я собираюсь хранить несколько конфиденциальных данных (SSN, банковские счета и т. Д.), Поэтому их, очевидно, необходимо будет зашифровать. Какие стратегии вы рекомендуете?

Должен ли я выполнять все шифрование / дешифрование в самом веб-приложении? Должен ли я использовать что-то вроде pgcrypto и сделать преобразования на стороне БД? Что-то еще целиком?

Кроме того, если вы считаете, что я должен выполнять шифрование на стороне веб-приложения, какие библиотеки Python вы бы порекомендовали?

Answer 1

Вы также можете проверить django-pgcrypto : https://github.com/dcwatson/django-pgcrypto

Answer 2

Я согласен, что сначала вы должны рассмотреть вашу общую модель безопасности и какие пути угроз могут быть наиболее рискованными, как в этой статье:

https://security.stackexchange.com/questions/16939/is-it-generally-a-bad-idea-to-encrypt-database-fields

, но также посмотритепри этом для зашифрованных полей в Django:

зашифрованных полей: https://github.com/svetlyak40wt/django-fields

больше зашифрованных полей:

https://github.com/defrex/django-encrypted-fields, https://github.com/django-extensions/django-extensions

Answer 3

Если вы решили выполнить шифрование на стороне вашего веб-приложения и используете Django для своего приложения, вы можете посмотреть django-extensions, особенно EncryptedCharField и EncryptedTextField.-> https://github.com/django-extensions/django-extensions/blob/master/docs/field_extensions.rst

Answer 4

От чего ты защищаешься? Если злоумышленник получит доступ к вашей БД / файловой системе, он найдет способ расшифровки данных и ключей. Скрытие ключа подписи - задача не из легких (и редко реализуемая в «обычных» приложениях).

Я бы потратил больше времени на защиту сервера и устранение всех общих проблем безопасности.