Chiffrer les serveurs Apache et MySQL

Question

J'ai une question sur le cryptage des disques.

J'ai 2 serveurs: 1 est apache pour le web / frontend et il parle au serveur 2 qui est mysql. Ils sont tous pour seulement intranet; pas d'accès externe. Je cherchais en utilisant pour chiffrer les disques PGP ou GnuPG. Je ne suis pas clair, cependant, pour savoir exactement comment cela fonctionnerait.

Où seraient les clés être stockées? Sur le client? Sur apache? S'il y a une touche d'accès apache mysql, est-il besoin d'être une clé pour chaque utilisateur? Dans ce cas, si la clé 1 permet de modifier certaines données, alors que les données inaccessibles à un utilisateur en utilisant la clé 2? Et la clé apache, serait-ce uniquement accessible aux utilisateurs avec des clés locales?

Le cryptage fait à la volée? Est-il dégrade la performance?

Quelle serait la meilleure approche pour chiffrer les données sur ces serveurs, mais ont accessibles aux utilisateurs?

Merci!

Answer 1

Dans la configuration vous décrire il peut y avoir de nombreux endroits et les moyens les données peuvent être cryptées. Si vous souhaitez crypter toutes les données transférées entre les serveurs, la mise en place d'un réseau privé virtuel (VPN) entre eux serait à l'affaire. Si vous voulez chiffrer les données réelles sur le disque, vous pouvez utiliser un système de fichiers Crypto comme CSA sur Linux. Si vous êtes un peu plus paranoïaque, vous voudrez peut-être chiffrer aussi l'espace d'échange.

Il est probablement pas efficace pour chiffrer toutes les données tout le temps, compte tenu des opérations de chiffrement peut être assez lourd sur la CPU. Je devine que tout le cryptage est pas nécessaire et que vous voulez juste chiffrer certaines de vos données qui est sensible. Je pense que la façon la plus simple de le faire serait d'utiliser le mot de passe ainsi qu'un algorithme à clé symétrique comme AES.

Votre application Web doit stocker et récupérer les données contenues dans la base de données sous une forme cryptée, et prendre soin de ne pas conserver les données non chiffrées dans la mémoire pour plus longtemps que strictement nécessaire. Pour (essayer de) assurez-vous qu'il reste un secret lorsque vous l'envoyez vers le client après cela, vous devez utiliser TLS .