MagyarmagyarKülső szolgáltatások API-kulcsainak és az érzékeny adatoknak a tárolása
Hogyan titkosítja a MainWP az API-kulcsokat és a bejelentkezési adatokat AES-GCM-mel, és mire terjed ki a védelem.
A MainWP a külső szolgáltatások API-kulcsait és bejelentkezési adatait a PHPSecLib könyvtárral, AES-GCM titkosítással tárolja a vezérlőpult adatbázisában. A továbbfejlesztett titkosítás a 4.5-ös verzióban jelent meg, és az iparági szabványokat követi.
Mire terjed ki a titkosítás?
Szekció neve “Mire terjed ki a titkosítás?”| Védett adat | Példák |
|---|---|
| Kiegészítők API-kulcsai | Biztonsági mentési szolgáltatások hitelesítő adatai, figyelőszolgáltatások API-kulcsai |
| Bejelentkezési adatok | A kiegészítőkben tárolt külső szolgáltatások fiókadatai |
| Vezérlőpult-titkok | Belső hitelesítési tokenek |
A titkosítás a vezérlőpulton tárolt adatokra vonatkozik. Nem érinti azokat az adatokat, amelyeket külső bővítmények hoznak létre a Child-webhelyeken. Például a MainWP titkosítja egy mentési kiegészítő API-kulcsát, de nem titkosítja a Child-webhelyeken keletkező mentési fájlokat.
A titkosítás elemei
Szekció neve “A titkosítás elemei”| Elem | Leírás |
|---|---|
| IV (inicializálási vektor) | 16 karakteres véletlen karaktersor, ami egyedivé teszi a titkosítást |
| Hitelesítési adat | Az adatok sértetlenségét ellenőrzi |
| AES-GCM titkosítás | Galois-számláló mód, a PHPSecLib által |
PHPSecLib Random osztály |
Kriptográfiailag biztonságos véletlen karaktersor előállítása |
| Kulcsfájl | A titkosítási kulcs a titkosított adatoktól külön tárolva |
Mi az AES-GCM?
Szekció neve “Mi az AES-GCM?”Az AES-GCM (Galois Counter Mode) az AES titkosítás egy folyamtitkosító módja. Jellemzői:
- kis késleltetés: gyors titkosítás és visszafejtés;
- nincs szükség kitöltésre (padding);
- hitelesített titkosítás (AEAD): ellenőrzi, hogy az adatot nem módosították;
- hitelesítési címke: minden titkosítás egy MAC-kódot (üzenethitelesítő kódot) állít elő.
Az AES-GCM a titkosítási kulcsból és az üzenetből titkosított szöveget, véletlen nonce-t és hitelesítési címkét készít.
A titkosítás menete
Szekció neve “A titkosítás menete”| Lépés | Művelet |
|---|---|
| 1 | 32 karakteres titkosítási kulcs generálása a PHPSecLib Random osztályával |
| 2 | 16 karakteres IV generálása ugyanazzal |
| 3 | Az AES-GCM beállítása a kulccsal, az IV-vel mint nonce-szal és a hitelesítési adattal |
| 4 | Az érték (API-kulcs vagy bejelentkezési adat) titkosítása |
| 5 | Az AES hitelesítési címke előállítása |
| 6 | Az IV, a titkosított adat és a hitelesítési címke egyesítése |
| 7 | Az egyesített érték base64-kódolása és mentése az adatbázisba |
| 8 | A titkosítási kulcs mentése külön kulcsfájlba |
| 9 | A kulcsfájl hivatkozásának mentése az adatbázisba |
Mit ad a megoldás?
Szekció neve “Mit ad a megoldás?”- Különválasztás: a titkosítási kulcs a titkosított adatoktól elkülönítve van tárolva.
- Sértetlenség: a hitelesítési címke jelzi, ha az adatot módosították.
- Egyediség: a véletlen IV miatt azonos értékekből is különböző titkosított szöveg lesz.
- Szabvány: az AES-256 GCM a biztonságos adattárolás széles körben elfogadott módszere.
A Child-webhelyek kapcsolatának magánkulcsairól a Magánkulcsok titkosítása, a vezérlőpult és a Child-webhelyek kommunikációjáról a kapcsolat biztonságáról szóló fejezetben olvashatsz.
Készült: