повторно использовать пару ключей аутентификации для шифрования и дешифрования данных

Question

У нас есть аутентификация пользователя openssl / kerberos / openssh, для которой требуется личная и открытая пара ключей.

Мне нужно войти в систему и получить некоторые данные из базы данных.Но я не могу хранить данные в базе данных в простой форме.А закрытый ключ, используемый для его расшифровки, должен храниться вне офиса.

Мы не хотим использовать прозрачное шифрование данных, как в oracle, db2, mysql и т. Д., Но создаем свое собственное.

Вместо добавления другого уровня шифрования я могу возобновить уже имеющуюся пару ключей.1007 *

Это соответствует требованиям PCIDSS для хранения конфиденциальных данных.https://www.pcisecuritystandards.org/security_standards/index.php

Некоторые советы по передовой практике очень ценятся.

Спасибо

Answer 1

PCI огромен, и неправильное его использование может разрушить бизнес, поэтому лучше всего найти эксперта.

Тем не менее, вот мои мысли: если все данные просто необходимо зашифровать, чтобы открыть их могла только сторонняя организация, используйте хорошую криптосистему с открытым ключом для сохранения данных. (Достаточно прочитать документацию, чтобы убедиться, что библиотека шифрует данные с помощью ключа сеанса и шифрует ключ сеанса с помощью открытого ключа удаленной стороны. Вы никогда не захотите шифровать данные с помощью открытый ключ, только сеансовые ключи .)

Если все данные необходимо хранить с ключом для каждого пользователя, вы можете сделать это тоже, но Kerberos был разработан специально для того, чтобы избежать криптосистем с открытым ключом - они приложили огромные усилия для создания чего-то почти похожего, используя только симметричные шифры. Умно, но это может означать, что вы даже не можете использовать ключи, которые вы надеялись использовать (если на самом деле требуется, чтобы только внешний хранящийся ключ мог расшифровать сохраненный зашифрованный текст).

Надеюсь, это поможет.

Answer 2

Как правило, не рекомендуется использовать одну и ту же пару ключей для аутентификации и шифрования.Вот почему ключ GnuPG содержит фактически 2 закрытых ключа, например.С точки зрения криптографа, вам необходимо хранить другую пару ключей для шифрования или использовать симметричный ключ для шифрования данных.

Вы читаете и пишете содержимое базы данных всегда с одним и тем же клиентом?Если это так, вы можете использовать симметричное шифрование и сохранить ключ на клиенте.