Re: Ecriptación

Carlos.Zaragoza escribió:
> Saludos a la comunidad, lo siguiente es mi duda,
>
> Es posible y con que herramienta poder tener la información de mi base de
> datos en postgresql encriptada,
> Ya que estaré manejando datos financieros, requiero ecrinptar toda la
> información, hay alguna manera?

Maneras las hay, pero ¿has pensado dónde se van a guardar las llaves de
cifrado? ¿Qué llaves hay, y qué descifra cada llave? ¿Dónde se va a
hacer el descifrado? ¿Habrá tráfico de datos sin cifrar a través de la
red? Si alguien compromete el servidor de datos ¿podrá ver los datos
sin cifrar a medida que viajan por la red? ¿Podrá descubrir la llave?
Los respaldos ¿van a estar cifrados? ¿Cómo vas a hacer búsquedas en los
datos? ¿Cómo vas a hacer cambios de llave en caso de que creas que una
fue comprometida? ¿Cómo vas a hacer cambios periódicos de llaves?

Lo de "tenemos todos los datos encriptados" suena muy seguro, pero si no
diseñas toda la solución para que sea realmente segura, va a ser sólo
"teatro de seguridad"(*) puesto que un cracker motivado va a poder
robarse los datos de todas maneras. Alguien que dice "encriptamos la
información en la BD" para describir su solución de seguridad da un
mensaje muy obvio de ser novato en el tema.

Nota: "to encrypt" se dice en castellano "cifrar". "Encriptar"
significa "meter en una cripta", que obviamente no es lo que quieres
decir.

(*) "security theatre" es una frase usada por Bruce Schneier, que es uno
de esos expertos tan expertos que la gente hace páginas web con el tema
de "Bruce Schneier puede factorizar números primos mientras duerme",
etc.

--
Alvaro Herrera http://www.flickr.com/photos/alvherre/
"No hay cielo posible sin hundir nuestras raíces
en la profundidad de la tierra" (Malucha Pinto)