php - guardar - ¿La mejor forma de cifrar la información del cliente en MySQL DB de mi empresa?

guardar contraseñas mysql

Question

Hasta hace poco tiempo, nuestra empresa recientemente tuvo una intrusión en la que nuestro DB MySQL fue abandonado y robado. Los ejecutivos están realmente nerviosos ahora y además de aumentar otras medidas de seguridad, intentan encriptar toda la información del cliente (dirección de correo electrónico, domicilio, nombres y demás) en la base de datos.

No estoy seguro de dónde comenzar con esto. Ejecutamos una aplicación PHP. Obviamente, esto creará una sobrecarga adicional que nos gustaría minimizar. Otra preocupación será la dificultad para cambiar el código donde se usen los nuevos campos encriptados.

Esto me parece una precaución innecesaria, pero la administración parece firme en eso.

¿Qué tipo de algoritmo / método de cifrado sería el mejor para este caso de uso?

Answer 1

Hay una muy buena reseña sobre cómo hacer esto con MySQL aquí: http://thinkdiff.net/mysql/encrypt-mysql-data-using-aes-techniques/ .

Querrá utilizar AES con claves de 256 bits, ya que es la mejor práctica / estándar imperante en este momento. Se considera que las claves AES de 256 bits son del tamaño suficiente para proteger contra la potencia informática moderna.

Es una buena idea, independientemente de si cree que es exagerado o no, encriptar su base de datos. Incluso si los datos no son terriblemente delicados, la pérdida de registros de clientes puede ser muy embarazosa para su empresa, como mínimo, y podría afectar negativamente la confianza del cliente y la voluntad de las personas de entregar sus datos en el futuro. Cifrar el contenido completo de su base de datos puede no ser estándar en la industria en este momento, pero las tendencias se están moviendo de esa manera y no puede perjudicarlo adoptar una postura de seguridad más sólida. Si nada más, piense en ello como otra entrada en su implementación de defensa en profundidad.

También recomendaría que revisara este artículo: http://www.symantec.com/connect/articles/secure-mysql-database-design , ya que proporciona una introducción bastante buena y básica al diseño de sistemas de bases de datos seguros que debería dar usted algunos consejos sobre otras cosas para verificar su aplicación.