Le chiffrement des données stockées est un composant essentiel de la cybersécurité sur les serveurs d’entreprise. Le chiffrement transparent des données (TDE) est une technologie utilisée par les fournisseurs de bases de données pour chiffrer les données au niveau des fichiers. Le TDE protège les données pendant le vol physique lorsque des disques sont volés ou lorsque des hackers exfiltrent des fichiers d’un serveur compromis. C’est une couche de sécurité supplémentaire dans les stratégies de protection des données.
Qu’est-ce que l’EDT ?
Le TDE est une forme de chiffrement au niveau des fichiers pour les bases de données. Le système de base de données stocke une clé symétrique et l’utilise pour chiffrer les données lorsqu’elles sont écrites sur un disque et les déchiffre lorsqu’elles sont récupérées. TDE chiffre également les fichiers journaux utilisés pour les sauvegardes et le suivi des transactions effectuées sur le serveur de base de données.
Lorsque les données sont chiffrées au repos, cela signifie que les fichiers sont chiffrés avant d’être stockés et décryptés de manière transparente lorsque le système les récupère. TDE sécurise les données stockées uniquement, les administrateurs doivent donc s’assurer que les données en transit sont également chiffrées, ce qui signifie que les données transférées de la base de données vers un autre emplacement doivent être chiffrées indépendamment des configurations TDE. Si des fichiers sont volés, ils seraient inutilisables pour l’attaquant sans avoir accès à la clé symétrique. Le TDE est donc une stratégie viable pour la cybersécurité avancée et la protection des données.
Qu’est-ce que le TDE dans SQL ?
Microsoft est un développeur de bases de données qui intègre TDE pour protéger les données d’entreprise. Lorsque vous configurez Microsoft SQL Server pour fonctionner avec TDE, la base de données génère un certificat et le stocke dans la base de données principale. Le certificat est utilisé pour chiffrer la clé symétrique, qui est ensuite utilisée pour chiffrer les données stockées sur disque ou récupérées et conservées en mémoire, ce qui les rend illisibles si elles sont exfiltrées.
L’ensemble du processus de chiffrement et de décryptage des données est transparent pour les administrateurs et les utilisateurs qui traitent des requêtes de base de données. Le TDE n’affecte pas les performances, même avec l’étape de chiffrement supplémentaire du flux de travail de stockage et de récupération. Le chiffrement symétrique des clés est généralement rapide et n’interfère pas avec les performances ou la productivité.
Les fournisseurs comme Amazon utilisent Elastic Block Store (EBS). EBS chiffre les données en blocs et non au niveau des fichiers. Les données sont chiffrées lorsqu’elles sont stockées et récupérées, mais les fichiers de données ne sont pas chiffrés. La différence en matière de sécurité réside dans le fait que le chiffrement au niveau des fichiers protège contre le vol physique. Si les fichiers sont exfiltrés d’un système compromis, TDE chiffre les fichiers, ce qui les rend inutilisables pour l’attaquant.
Exemples de TDE dans les SGBD populaires
Bien que Microsoft utilise TDE dans ses produits de base de données SQL Server, TDE est également intégré dans les applications de base de données d’autres fournisseurs. IBM utilise TDE dans son logiciel de base de données Db2. Oracle utilise également TDE comme option de sécurité avancée pour ses applications de base de données 10 g et 11 g. Les trois fournisseurs exigent que les administrateurs activent et configurent le TDE avant de pouvoir l’utiliser.
MySQL intègre également TDE. TDE dans MySQL fonctionne de la même manière que TDE dans Microsoft SQL Server. Le processus de chiffrement à deux niveaux génère une clé asymétrique publique et privée utilisée pour chiffrer la clé symétrique. La clé symétrique chiffre et déchiffre les données au fur et à mesure de leur stockage et de leur récupération. La clé de chiffrement principale est stockée dans un coffre où seuls les administrateurs et le système de base de données peuvent y accéder.
Avantages de l’utilisation de l’EDT
Les données au repos sont toutes les informations stockées sur un appareil. C’est la forme opposée de données en transit, qui décrit les données transférées d’un périphérique à un autre ou les données transférées vers un autre emplacement. Les données au repos se distinguent des données en transit, elles ont donc besoin de sa propre stratégie de protection des données et de cybersécurité.
Certaines réglementations de conformité exigent que les données stockées soient chiffrées. La loi HIPAA (Health Insurance Portability and Accountability Act) en est un bon exemple. La loi HIPAA impose des réglementations strictes en matière de protection données stockées, en particulier sur les serveurs et les postes de travail qui stockent des informations sur les patients. Assurez-vous toujours que votre infrastructure respecte toutes les normes réglementaires régissant votre secteur et vos flux de travail de paiement.
Microsoft intègre TDE en toute transparence à son moteur de base de données SQL Server. Les utilisateurs et les administrateurs ne remarquent aucune différence dans son opérabilité, ses performances ou la manière dont SQL Server répond aux requêtes. Les administrateurs peuvent déplacer des fichiers vers des emplacements de sauvegarde sans chiffrer manuellement les fichiers de sauvegarde pour respecter les bonnes pratiques en matière de conformité et de protection des données.
Inconvénients ou raisons de ne pas utiliser le TDE
Tout flux de travail cryptographique ajoute de la complexité à l’environnement, de sorte que certains administrateurs peuvent hésiter à l’utiliser. Bien que le TDE n’interfère pas avec les performances d’un serveur moderne avec du matériel pour gérer les requêtes d’entreprise, il peut interférer avec les performances des requêtes sur un matériel plus ancien. Les données chiffrées nécessitent également une capacité de stockage supplémentaire, et la capacité de stockage doit évoluer à mesure que les entreprises acquièrent davantage de données.
TDE chiffre l’ensemble du fichier stocké sur disque, de sorte que les administrateurs n’ont pas de contrôle granulaire sur le chiffrement au niveau des cellules ou des colonnes. Toutes les EI/O des disques sont chiffrées, c’est donc une fonctionnalité « tout ou rien » pour les bases de données SQL Server. SQL Server offre également un chiffrement au niveau des cellules ou des colonnes, ce qui permet aux administrateurs de contrôler de manière plus granulaire le chiffrement de champs et d’informations spécifiques.
FlashArray ™ assure un chiffrement des données au repos standard AES-256 simple d’utilisation, sans compromettre les performances. Lisez ce livre blanc pour en savoir plus. >>
Conclusion
Le chiffrement est essentiel dans la protection des données, en particulier lors de l’hébergement de données dans le cloud. Les administrateurs peuvent configurer manuellement leur base de données SQL Server pour chiffrer les fichiers. Les sauvegardes et les journaux de ces fichiers seront chiffrés automatiquement une fois le TDE activé. Si vous supervisez la conformité d’une base de données, TDE respecte les réglementations courantes exigeant le chiffrement des données sensibles au niveau des fichiers.
Votre couche de stockage freine-t-elle vos performances SQL ? Accélérez les performances de vos déploiements SQL Server avec stockage 100 % flash de Pure Storage .
