سمینار درس امنیت پایگاه داده دانشگاه صنعتی شریف توسط روح اللّٰه جهان افروز و امیرمحمّد آقاپور به راهنمایی دکترصادق دری نو گورانی

1. AcraServer ‫با‬ ‫داده‬ ‫پایگاه‬ ‫سازی‬‫امن‬
‫شریف‬ ‫صنعتی‬ ‫دانشگاه‬ ‫داده‬‫پایگاه‬ ‫ّت‬‫ی‬‫امن‬ ‫درس‬ ‫کلاسی‬‫ائه‬‫ر‬‫ا‬
:‫دهندگان‬‫ائه‬‫ر‬‫ا‬
‫آقاپور‬‫ا‬ ‫ّد‬‫م‬‫امیرمح‬ ،‫افروز‬‫جهان‬ ‫ّٰه‬‫ل‬‫ال‬ ‫روح‬
:‫درس‬ ‫استاد‬
‫نوگورانی‬ ‫ّی‬‫ر‬‫د‬ ‫صادق‬
١٤٠٠-١٤٠١ ‫ّل‬‫و‬‫ا‬ ‫نیمسال‬

2. ‫مطالب‬ ‫فهرست‬
●
‫کاربردی‬ ‫لایه‬ ‫در‬ ‫امنیت‬
●
AcraServer ‫معرفی‬
●
(‫عملی‬ ‫)اجرای‬ ‫داده‬ ‫از‬ ‫محافظت‬
○
‫محرمانگی‬
○
‫خصوصی‬ ‫حریم‬
●
(‫عملی‬ ‫)اجرای‬ (Firewall)‫دفاعی‬ ‫دیوار‬

3. ‫کاربردی‬ ‫لایه‬ ‫ امنیت‬
‫نمونه‬ ‫و‬ ‫معماری‬ ،‫ اصول‬

4. ‫افزاری‬‫نرم‬ ‫واسط‬ ‫از‬ ‫استفاده‬
‫کاربر‬
(‫کاربردی‬ ‫)برنامه‬
‫سرور‬
(‫داده‬ ‫)پایگاه‬
‫واسط‬
●
‫آیی‬‫ا‬‫کار‬ ‫و‬ ‫امنیت‬ ‫برای‬ ‫افزار‬‫نرم‬ ‫بر‬ ‫مبتنی‬ ‫راهکار‬
●
‫چرا؟‬
○
(‫بروزرسانی‬ ‫بدون‬ ‫و‬ legacy ‫)سیستم‬ ‫سرور‬ ‫پشتیبانی‬ ‫عدم‬
○
‫خصوصی‬ ‫حریم‬ ‫امات‬‫ز‬‫ال‬ ‫و‬ ‫داده‬ ‫از‬ ‫حفاظت‬ ‫ات‬‫ر‬‫مقر‬ ‫کردن‬ ‫سازگار‬
○
‫توسعه‬ ‫مسئول‬ ‫تیم‬ ‫بودن‬ ‫جدا‬
○
‫هزینه‬
●
‫مجزا‬ ‫خدمت‬ ‫صورت‬ ‫به‬ ‫ارائه‬

5. ‫ای‬‫لایه‬ ‫معماری‬
●
‫متفاوت‬ ‫های‬‫لایه‬ ‫در‬ ‫متفاوت‬ ‫اهداف‬
●
(‫ابستگی)تعامد‬‫و‬ ‫عدم‬

6. ‫نمونه‬
●
Azure SQL Database Firewall
●
ACL ‫از‬ ‫استفاده‬ ‫امکان‬
●
DoS ‫ابر‬‫ر‬‫ب‬ ‫در‬ ‫محافظت‬

7. ‫نمونه‬
●
Huawei Cloud
Database Security
Service
●
‫خصوصی‬ ‫حریم‬ ‫حفظ‬
●
‫ها‬‫داده‬ ‫داینامیک‬ ‫پوشش‬

8. ‫نمونه‬
●
Huawei Cloud
DBSS
●
‫حملات‬ ‫از‬ ‫جلوگیری‬
●
‫ها‬‫داده‬ ‫از‬ ‫محافظت‬

9. ‫نمونه‬
●
MySQL Enterprise Firewall
●
MariaDB MaxScale
●
ProxySQL

10. AcraServer ‫معرفی‬
‫ساختار‬ ‫و‬ ‫امکانات‬

11. ‫معرفی‬
●
‫رمزگذاری‬ ‫و‬ ‫امنیت‬ ‫حوزه‬ ‫استارتاپ‬
●
‫انگلیس‬ ‫در‬ ‫کار‬ ‫مرکز‬
●
2014 ‫سال‬ ‫از‬ ‫فعال‬
●
‫متفاوت‬ ‫محصولات‬
○
‫رمزگذاری‬ ‫کتابخانه‬
○
‫داده‬‫پایگاه‬ ‫سازی‬‫امن‬
○
‫همتا‬-‫به‬-‫همتا‬ ‫ارتباط‬
○
‫داده‬ ‫امن‬ ‫مدیریت‬

12. ‫معماری‬
●
SQL ‫پروکسی‬
●
‫وجوها‬‫پرس‬ ‫پردازش‬ ‫با‬ ‫امنیتی‬ ‫عملکردهای‬
○
‫پوشانی‬‫داده‬ ‫و‬ ‫رمزگذاری‬ ‫با‬ ‫داده‬ ‫محافظت‬
○
‫رویدادنگاری‬ ‫و‬ ‫نفوذ‬ ‫از‬ ‫تشخیص‬ ‫و‬ ‫پیشگیری‬

13. ●
‫ها‬‫گواهی‬ ‫کننده‬ ‫صادر‬ ‫به‬ ‫اعتماد‬
○
Root Certificate ‫روی‬ ‫افق‬‫و‬‫ت‬
○
CA ‫از‬ ‫استفاده‬
●
‫نامه‬‫گواهی‬ ‫با‬ ‫کاربر‬ ‫هویت‬ ‫تشخیص‬
○
‫مشترک‬ ‫سرور‬ ‫به‬ ‫متفاوت‬ ‫دسترسی‬ ‫با‬ ‫ا‬‫ز‬‫مج‬ ‫ان‬‫ر‬‫کارب‬ ‫ی‬‫استفاده‬
‫سناریوها‬ ‫معماری‬

14. ‫داده‬ ‫محرمانگی‬
‫وجو‬‫جست‬ ‫قابل‬ ‫رمزگذاری‬ ‫و‬ ‫کاربرد‬ ‫سطح‬ ‫رمزگذاری‬

15. ( ‫اپلیکیشن‬ ) ‫کاربرد‬ ‫لایه‬ ‫سطح‬ ‫رمزنگاری‬
●
Acra Block ‫یا‬ Acra Structure
●
‫؟‬ ‫چگونه‬
○
Acra Server-transparent
○
Acra Translator API
○
Acra Writer

16. Acra Server
●
‫؟‬ ‫چگونه‬
○
transparent ‫حالت‬ ‫کردن‬ ‫فعال‬
○
encryptor_config ‫فایل‬ ‫در‬ ‫نظر‬ ‫مورد‬ ‫های‬ ‫فیلد‬ ‫تعیین‬
○
select ‫هنگام‬ ‫در‬ ‫ها‬ ‫داده‬ ‫رمزگشایی‬ ‫و‬ update ‫و‬ insert ‫هنگام‬ ‫در‬ ‫گذاری‬ ‫رمز‬
○
‫داده‬ ‫پایگاه‬ ‫شمای‬ ‫معرفی‬
●
: ‫ها‬ ‫ویژگی‬
○
‫کاربر‬ ‫های‬ query ‫در‬ ‫ییر‬ ‫ت‬ ‫عدم‬
○
Client ID
○
zone ‫تعریف‬ ‫امکان‬
○
masking ‫یا‬ tokenization ‫از‬ ‫استفاده‬
○
Acra Server ‫از‬ ‫نمونه‬ ‫چندین‬ ‫تعریف‬ ‫امکان‬

17. ‫نگاری‬ ‫رمز‬ ‫سناریو‬
●
postgres ‫اد‬ ‫سم‬ ‫در‬ ‫جدول‬ ‫یک‬ ‫ستونهای‬ ‫رمزنگاری‬
○
‫ها‬ ‫کلید‬ ‫ایجاد‬
○
client _id ‫یک‬ ‫به‬ ‫کلید‬ ‫اختصاص‬
○
acra_server.yaml ‫فایل‬ ‫ایش‬‫ر‬‫وی‬
○
encryptor.yaml ‫فایل‬ ‫در‬ ‫موردنظر‬ ‫ستونهای‬ ‫تعیین‬

18. Acra Translator API
●
:
GPRC HTTP
Acra
Structure
service Writer /v2/encrypt
service Reader /v2/decrypt
Acra Block service WriterSym /v2/encryptSym
service ReaderSym /v2/decryptSym

19. HTTP

20. ‫جستجو‬ ‫قابل‬ ‫رمزگذاری‬
●
‫آنها‬‫ا‬ ‫رمزگشایی‬ ‫بدون‬ ‫شده‬ ‫رمز‬ ‫های‬ ‫داده‬ ‫روی‬ ‫بر‬ ‫جستجو‬ ‫قابلیت‬
●
‫؟‬ ‫چگونه‬
○
Acra) ‫شده‬ ‫رمز‬ ‫های‬ ‫داده‬ ‫کنار‬ ‫در‬ (HMAC SHA256) ‫ها‬ ‫داده‬ ‫هش‬ ‫کردن‬ ‫ذخیره‬
(Acra Translator ‫یا‬ Server
○
‫هش‬ ‫دقیق‬ ‫مقدار‬ ‫اساس‬ ‫بر‬ ‫جستجو‬
SELECT ... FROM ... WHERE encrypted_column LIKE "prefix%"
SELECT ... FROM ... WHERE encrypted_column = "value"
○
encryptor_config_file‫در‬ ‫ستون‬ ‫هر‬ ‫ای‬‫ر‬‫ب‬ ‫سازی‬ ‫فعال‬
●
AcraBlock ‫و‬ Acra Struct ‫ساختار‬ ‫دو‬ ‫هر‬ ‫از‬ ‫پشتیبانی‬

21. ‫جستجو‬ ‫قابل‬ ‫گذاری‬ ‫رمز‬ ‫سناریو‬
●
‫بیمارستان‬ ‫یک‬ ‫ای‬ ‫داده‬ ‫پایگاه‬
●
( ‫تلفن‬ ‫شماره‬ ، ‫سکونت‬ ‫محل‬ ، ‫بیماری‬ ، ‫ملی‬ ‫کد‬،‫نام‬ ) ‫بیمارها‬ ‫جدول‬
●
encryptor_confi ‫فایل‬ ‫در‬ ‫نظر‬ ‫مورد‬ (‫)های‬ ‫ستون‬ ‫تعیین‬
●
.‫(باشد‬ ‫ها‬ ‫بایت‬ ‫از‬ ‫ای‬ ‫ایه‬‫ر‬‫آ‬‫ا‬) bytea ‫نوع‬ ‫از‬ ‫باید‬ ‫ستون‬ ‫داده‬ ‫نوع‬

22. HTTP
Path Structure
/v2/encryptSearchable AcraStruct
/v2/decryptSearchable AcraStruct
/v2/encryptSymSearchable AcraBlock
/v2/decryptSymSearchable AcraBlock

23. ‫داده‬ ‫خصوصی‬ ‫حریم‬
‫گذاری‬‫نشانه‬ ‫و‬ ‫پوشانی‬ ‫داده‬

24. (Data Masking)‫پوشانی‬‫داده‬
●
(‫حساس)تجاری‬ ‫و‬ (PII)‫شخصی‬ ‫های‬‫داده‬ ‫از‬ ‫محافظت‬ ‫برای‬
●
‫مختلف‬ ‫های‬‫روش‬
○
‫زدن‬ ‫هم‬ ‫به‬ ،‫عددی‬ ‫اریانس‬‫و‬ ،‫رمزگذاری‬ ،‫حذف‬ ،‫جایگذاری‬
●
‫مختلف‬ ‫های‬‫زمان‬ ‫در‬
○
‫آماری‬‫ا‬ ،‫قطعی‬ ،‫پویا‬ ،‫ایستا‬
●
‫شود‬‫می‬ ‫انجام‬ ‫پوشاندن‬ ‫با‬ ‫و‬ ‫پویا‬ ‫صورت‬ ‫به‬ AcraServer ‫در‬
●
‫نمونه‬
○
‫سفارش‬ ‫بت‬ ‫ای‬‫ر‬‫ب‬ ‫تماس‬ ‫مرکز‬ ‫اتور‬‫ر‬‫اپ‬ ‫ای‬‫ر‬‫ب‬ ‫اعتباری‬ ‫کارت‬ ‫آخر‬‫ا‬ ‫رقم‬ 4 ‫تنها‬
○
‫رمز‬ ‫بازیابی‬ ‫ای‬‫ر‬‫ب‬ ‫تلفن‬ ‫شماره‬/‫ایمیل‬ ‫آخر‬‫ا‬ ‫و‬ ‫اول‬ ‫اکتر‬‫ر‬‫کا‬ 3 ‫تنها‬
○
‫مجرم‬ ‫اسم‬ ‫عمومی‬ ‫نمایش‬ ‫ای‬‫ر‬‫ب‬ ‫ادگی‬‫و‬‫خان‬ ‫نام‬ ‫و‬ ‫نام‬ ‫ابتدای‬ ‫تنها‬

25. ‫پوشانی‬‫داده‬ ‫سناریو‬
‫اینترنتی‬ ‫فروشگاه‬
‫مشتری‬
‫پست‬ ‫شرکت‬
‫مالک‬
‫پستی‬ ‫کد‬
001 123456
001 789101
(001, 456)
001
(001, xxx456)
(001, xxx101)

26. (Data Tokenization)‫گذاری‬‫نشانه‬
●
‫عملیات‬ ‫در‬ ‫حساس‬ ‫ی‬‫داده‬ ‫جای‬ ‫به‬ (Token)‫نشانه‬ ‫از‬ ‫استفاده‬
●
‫کلی‬ ‫روش‬ ‫دو‬
○
‫نگاشت‬ ‫سازی‬‫ذخیره‬ ‫و‬ ‫تصادفی‬ ‫داده‬ ‫تولید‬ :(Vault-based)‫مخزن‬ ‫با‬
○
(FPE)‫فرمت‬ ‫حافظ‬ ‫رمزگذاری‬ ‫الگوریتم‬ :(Vaultless)‫مخزن‬ ‫بدون‬
●
‫نشانه‬ ‫داشتن‬ ‫با‬ ‫حساس‬ ‫داده‬ ‫به‬ ‫مجاز‬ ‫عامل‬ ‫دسترسی‬ ‫امکان‬
John Smith
‫حساس‬ ‫داده‬
‫نشانه‬
csxt wusjy
1/1/1990 7/26/1990
‫نام‬
‫تولد‬ ‫تاریخ‬
1111-2222-3333-4444
‫بانکی‬ ‫کارت‬ ‫شماره‬
1111-2222-7382-6598

27. ‫گذاری‬‫نشانه‬ ‫سناریو‬
‫ٔی‬‫ا‬‫ر‬ ‫اخذ‬
‫دانشجو‬
‫سطر‬ ‫شماره‬
(‫)نشانه‬ ‫ایمیل‬
1 x3f@ydrcz.org
x3f@ydrcz.org
‫دانشگاه‬
‫کلید‬
‫مقدار‬
x3f@ydrcz.org std@smail.com
std@mail.com

28. ‫دفاعی‬ ‫ار‬‫و‬‫دی‬
‫حمله‬ ‫از‬ ‫جلوگیری‬ ‫و‬ ‫تشخیص‬ ،‫پیشگیری‬

29. SQL ‫فایروال‬
●
‫وجوها‬‫پرس‬ ‫کردن‬ ‫فیلتر‬
●
‫کردن‬ ‫رد‬ ‫یا‬ ‫قبول‬ ‫برای‬ ‫قوانین‬ ‫تعریف‬
○
‫جداول‬ ‫نام‬
○
‫وجو‬‫پرس‬ ‫الگوی‬
○
‫مشخص‬ ‫وجوی‬‫پرس‬
●
‫باز‬ ‫و‬ ‫بسته‬ ‫سیاست‬ ‫ترکیب‬
○
(allow list)‫مجاز‬
○
(deny list)‫مجاز‬ ‫یر‬
○
(ignore list)‫گرفتن‬ ‫نادیده‬

30. (SQLi)‫وجو‬‫پرس‬ ‫تزری‬ ‫سناریو‬
‫کاربر‬
‫مهاجم‬
‫سرور‬

31. ‫منابع‬
●
Acra ‫مستندات‬
○
https://docs.cossacklabs.com/acra
○
https://www.cossacklabs.com/blog/how-to-build-sql-firew
all-acracensor
●
‫محصولات‬ ‫وبسایت‬
○
https://www.mysql.com/products/enterprise/firewall.html
○
https://mariadb.com/kb/en/maxscale
○
https://proxysql.com
○
https://www.huaweicloud.com/en-us/product/dbss.html
○
https://docs.microsoft.com/en-us/azure/security/fundamen
tals/infrastructure-sql
●
‫داده‬ ‫خصوصی‬ ‫حریم‬ ‫برای‬ ‫اسلاید‬ ‫و‬ ‫مقالات‬
○
https://www.slideshare.net/ulfmattsson/tokenization-vs-en
cryption-vs-masking
○
https://www.encryptionconsulting.com/education-center/ty
/pes-of-tokenization-vault-and-vaultless
●
‫تصاویر‬
○
https://www.flaticon.com

32. ‫پایاڹ‬