GitHub为什么以及如何使用ActiveRecord::Encryption加密敏感的数据库列

   本文是关于如何使用GitHub的系列文章的第一部分,主题为ActiveRecord::加密。 你可能已经知道GitHub会对源代码进...

  

本文是关于如何使用GitHub的系列文章的第一部分,主题为ActiveRecord::加密。

你可能已经知道GitHub会对源代码进行加密,但你可能不清楚Ruby on Rails同样会对敏感的数据库字段进行加密。这一措施旨在提供额外的安全防护,以应对以下问题:

读取或篡改敏感字段,若数据库异常访问se日志,可能会意外泄露日志中的敏感信息。

动机

直到最近,GitHub使用一个名为Encrypted Attributes的内部库。开发团队建议使用API来对字段进行加密。ActiveRecord::加密:

class PersonalAccessToken encrypted_attribute:encrypted_token,:plaintext_token结束

既然已经有了实现,为什么还要列出ActiveRecord::加密呢?我们的主要动机是为了避免开发人员需要学习GitHub特定的模式来加密敏感数据。

我们相信,采用熟悉且直观的模式将有助于我们的安全工具更好地被接受,从而为用户提供更高的安全性。

除了公开一些底层加密实现的细节外,该API并未为开发人员提供简单的方法来加密现有字段。内部库要求每个新的数据库字段生成一个独立的加密密钥,并将其存储在安全的环境变量中。这造成了瓶颈,因为大多数开发人员并不经常进行加密,且需要安全团队的支持才能进行任何更改。

在评估ActiveRecord::Encryption时,我们特别关注开发人员的可用性。我们希望开发人员只需编写一行代码,无论字段之前是纯文本还是使用其他解决方案,都能轻松实现加密。ActiveRecord::加密最终的API如下:

类PersonalAccessToken加密:令牌结束

这个API与遗留API中使用的API完全一致,隐藏了在GitHub规模上运作的所有复杂性。

我是如何实现的

在构建Monolith的过程中,我们与架构和基础设施团队紧密合作,以确保解决方案满足GitHub的可扩展性和安全性要求。以下是我们为使实现适应基础设施而进行的一些自定义的简要列表。

如往常一样,在修改现有加密实现时需要考虑某些细微差别,并始终建议与安全团队一起审查新的加密代码。

安全的主密钥存储

默认情况下,Rails使用内置的credential .yml.enc文件来安全存储用于派生字段加密密钥的主密钥和静态盐。

GitHub的密钥管理策略ActiveRecord::Encryption与Rails的默认设置在两个主要方面有所不同。它为每个字段导出一个独立的密钥,并将密钥存储在一个集中管理的秘密系统中。

从单个主键派生每列密钥

如前所述,此迁移的目标之一是通过手动管理密钥来消除团队瓶颈。然而,我希望保留单个密钥的安全特性。幸运的是,密码学专家为此设计了一个称为密钥派生函数(KDF)的原语。这些函数大致接受三个重要参数:主键、唯一的盐和规范中称为“info”的字符串。

我们的盐由表名、下划线和属性名组成。因此,“PersonalAccessTokens#token”的盐为“personal_access_token_token”。这确保了每个字段的密钥是独一无二的。

根据ActiveRecord::Encryption的规范,该算法(AES256-GCM)必须注意不要用同一个密钥加密过多的值(以避免Nonce重用)。使用“info”字符串参数至少每年一次自动更改每个字段的密钥。因此,信息输入当前年份作为Nonce派生密钥。

GitHub的应用程序配置存储秘密于Hashicorp Vault。为了遵循这一现有模式,我们需要从Vault而非credentials.yml.enc文件中获取主密钥。为此,我创建了一个自定义密钥提供程序,其行为与默认值相似。从Vault中检索密钥并使用KDF获取密钥(见图1)。

将新行为设为默认

我们团队的一个关键原则是,我们开发的解决方案应当直观,无需产品开发人员的实现知识。ActiveRecord::Encryption包括自定义用于加密特定字段数据的Encryptor功能。此特性允许开发人员选择性地使用上述策略,但要使其成为monoliths的默认策略,加密模型助手会自动为用户选择适当的GitHub特定密钥提供程序。

{自定义}加密(*attributes, key_provider: nil, previous: nil, options) # snip:确保只传递一个属性#…#拉出唯一属性attribute = attributes。确保如果一个密钥提供程序被传递,它是一个GitHubKeyProvider #…#如果没有设置密钥提供程序,实例化一个kp = key_provider || GitHub::Encryption::GitHubKeyProvider新(表:table_name。To_sym, attribute: attribute) # snip:逻辑,以确保支持以前的加密格式和明文,以实现平滑转换(参见第2部分)#调用rails加密super(attribute, key_provider: kp, previous: github_previous, options) end}

目前我们仅向内部开发人员提供此API。Github.com代码库。在使用库时,我正在尝试将此策略向上传递。ActiveRecord::Encryption通过将逐类加密方案替换为逐列加密方案。

默认禁用压缩

在加密前对值进行压缩可能会泄露值的内容信息。例如,具有更多重复字节的值,如'abcabcabc ',比相同长度的字符串,如'abcdefghi '压缩得更好。除了密文通常暴露长度的一般加密属性外,这还暴露了关于底层明文的熵(随机性)的附加信息。

ActiveRecord::Encryption默认情况下压缩数据以提高存储效率,但由于要加密的值相对较小,我们认为这种权衡对于我们的用例来说是不值得的。因此,我们用一个使压缩可选的标志替换了加密前的默认压缩值。

转向新的加密标准:困难的部分

这篇文章介绍了我在选择ActiveRecord::加密时遇到的一些设计决策和权衡,但我不确定如何指导现有应用程序的开发人员开始加密字段。信息是不够的。在本系列的下一篇文章中,我将向您展示我们如何处理困难的部分:从明文或其他加密标准升级应用程序中的现有字段。

https://github.blog/2022-10-26-why-and-how-github-encrypts-sensitive-database-columns-using-activerecordencryption/ GitHub为什么以及如何使用ActiveRecord::Encryption加密敏感的数据库字段

本文来自作者[svs]投稿,不代表立场,如若转载,请注明出处:http://dasbrooksbookkeeping.com/post/6411.html

(201)

文章推荐

  • 丰田MPV7座有哪几款车型?

      丰田MPV7座有哪几款  前言:(图片来源网络,侵删)随着人们生活水平的提高,家庭出行需求也越来越多样化。丰田作为汽车行业的领军企业,一直致力于为消费者提供更加舒适、实用的车型选择。丰田MPV7座车型就是其中之一,它不仅拥有宽敞的空间,还具备出色的性能和安全配置。本文将为大家介绍丰田MP

    2024年09月01日
    829
  • 如何快速查询车辆违章记录?

      在如今的社会,车辆违章已经成为一个普遍存在的问题。而要及时查车辆违章并及时处理,是每个车主都需要关注的事情。那么,如何才能最快速地查到车辆违章呢?接下来,我们将为您介绍一些方法。  快速查车辆违章的方法(图片来源网络,侵删)  要快速查到车辆违章,最简单的方法就是通过互联网。现在各地交通

    2024年09月11日
    803
  • 英国考虑在学校和医院附近禁用电子烟以保护儿童

      英国的政府官员正在推动一项新法案,旨在禁止在学校和医院周边吸电子烟,以保护青少年免受电子烟的诱惑。卫生部长韦斯·斯特里廷提出了这一限制措施,旨在减少公共场所的电子烟使用。据《卫报》报道,英国首席医疗官克里斯·惠蒂也支持这一举措。该法案预计将在未来几周内提交给议会讨论,内容包括禁止在这

    2024年11月15日
    331
  • 蓝色徽章将导致使用该许可证的司机或乘客受到三个月的警告

      根据苏格兰交通运输部的最新统计,英格兰和苏格兰的蓝徽章持有者总数已超过280万,其中英格兰有25,700人,苏格兰的持有者数量为235,779人。值得注意的是,苏格兰的实际数据可能更高,因为最新统计是在2021年11月发布的。自2019年起,蓝徽章的申请资格范围扩大,现已涵盖包括帕金

    2024年11月25日
    252
  • 肯宁高一男子因邻居协助妻子报案而将其杀害

      吉隆坡,9月20日——在沙巴州肯宁高,昨晚一名男子因协助邻居向警方报案而遭到砍杀。事件发生在晚上9点30分,58岁的受害者被其邻居的丈夫袭击。肯宁高地区警察局代理局长阿里扎姆·达拉曼向《贝里塔·哈里安》透露,初步调查显示,嫌疑人是一名40岁男

    2024年11月25日
    204
  • 新技术提升了食品细菌检测速度

    俗话说欲速则不达,但大阪城市大学的研究人员已经证明,做事迅速并不一定意味着工作效率低下。大阪城市大学工程研究生院的HiroshiShiigi教授领导的研究小组开发了一种技术,可以使用一种水溶性分子四氮唑盐(MTT),通过电化学快速准确地确定食品中活菌的数量。

    2024年11月25日
    244
  • 草药营养品在印度生活方式疾病管理中的作用

      生活方式疾病,亦称非传染性疾病,已成为全球(包括印度)面临的主要健康挑战。这类疾病,如肥胖、糖尿病、高血压、心血管疾病及代谢紊乱,主要源于不健康的生活方式,例如久坐不动、不良饮食习惯和压力过大。根据世界卫生组织的数据,非传染性疾病每年导致4100万人死亡,占全球死亡人数的74%。其中,86%的过

    2024年12月02日
    168
  • Press Metal公布第二季净利下降3.0579亿令吉

      吉隆坡8月29日消息,PressmetalaluminumHoldingsBhd(Pressmetal)在截至2023年6月30日的第二季度(2023财年第二季度)报告净利润为3.0579亿令吉,较去年同期的4.0917亿令吉有所下降,这与其关联公司的收入和贡献减少相

    2024年12月07日
    192
  • “介绍‘Jambo’:社交媒体的新面貌”

      通过“礼品卡”连接扩大您的公司优先考虑真实和个人所有的互动都超过了关注者的数量或点赞所有人都享有平等的聚光灯,摆脱了名声驱动的算法洛杉矶,2024年9月3日/美通社/——新社交网络

    2024年12月12日
    169
  • 上海合作组织第二十三次峰会在巴基斯坦举行,塔利班政府未获邀请

      2023年10月16日,上海合作组织成员国元首理事会在巴基斯坦首都伊斯兰堡举行了第二十三次会议。阿富汗自2012年6月7日起成为上海合作组织的观察员,但在过去三年中,塔利班未能获得参加会议的邀请。巴基斯坦总理谢赫巴兹·谢里夫在欢迎与会者时强调了

    2024年12月18日
    56

发表回复

本站作者后才能评论

评论列表(4条)

  • svs
    svs 2024年12月06日

    我是的签约作者“svs”!

  • svs
    svs 2024年12月06日

    希望本篇文章《GitHub为什么以及如何使用ActiveRecord::Encryption加密敏感的数据库列》能对你有所帮助!

  • svs
    svs 2024年12月06日

    本站[]内容主要涵盖:国足,欧洲杯,世界杯,篮球,欧冠,亚冠,英超,足球,综合体育

  • svs
    svs 2024年12月06日

    本文概览:   本文是关于如何使用GitHub的系列文章的第一部分,主题为ActiveRecord::加密。 你可能已经知道GitHub会对源代码进...

    联系我们

    邮件:@sina.com

    工作时间:周一至周五,9:30-18:30,节假日休息

    关注我们