🔐 PostgreSQL + pgcrypto: шифрование данных и его подводные камни

Когда речь заходит о защите конфиденциальных данных, большинство вспоминают про файрволы и VPN. Но мало кто думает о том, что утечка базы данных = утечка всего. PostgreSQL предоставляет мощное, но часто недооценённое средство — расширение pgcrypto, позволяющее шифровать и хешировать данные прямо в SQL-запросах.

Однако использовать его нужно с умом. Погружаемся в детали.

🌟 Зачем вообще нужно шифровать внутри БД?

🛡 Data-at-rest защита — украли диск или дамп? Без ключа злоумышленник увидит только мусор.
📜 Соответствие стандартам — PCI DSS, HIPAA, GDPR требуют защиты на уровне отдельных полей.
⛔️ Снижение риска при SQL-инъекциях — даже если атакующий получит доступ, он не расшифрует данные без ключа.
🎯 Избирательное шифрование — не нужно защищать всю таблицу, можно только нужные поля.

🔧 pgcrypto: как начать и не облажаться

✅ Установка и изоляция:

CREATE EXTENSION pgcrypto SCHEMA crypto; REVOKE EXECUTE ON ALL FUNCTIONS IN SCHEMA crypto FROM PUBLIC; GRANT EXECUTE ON FUNCTION crypto.encrypt(bytea, bytea, text) TO secure_user;

✅ Хеширование и HMAC:

SELECT digest('text', 'sha256'); SELECT hmac('data', 'secretkey', 'sha512');

✅ Пароли с солью:

SELECT crypt('пароль', gen_salt('bf')); 

💣 Плохие практики, которых стоит избегать

🚫 Хранить ключи в той же базе данных — если база скомпрометирована, ключ в таблице только усугубит ситуацию.
🚫 Захардкодить ключ в приложении — при утечке кода атака мгновенна.
🚫 Использовать режим шифрования ECB — он сохраняет паттерны и легко поддаётся анализу.
🚫 Раздавать EXECUTE-права на функции шифрования всем подряд — это прямой путь к злоупотреблениям.

🔐 Альтернатива: что такое pgTDE?

pgTDE (Transparent Data Encryption) — это расширение, которое обеспечивает шифрование данных на уровне ядра PostgreSQL. В отличие от pgcrypto, оно работает прозрачно: вам не нужно вручную вызывать encrypt() или decrypt() — все данные в таблице шифруются автоматически. Это полезно, если вы хотите защитить всю таблицу или базу целиком.

Также pgTDE:
➖Поддерживает работу с внешними системами управления ключами (например, HashiCorp Vault).
➖Совместим с индексами, в отличие от pgcrypto, где шифрование ломает возможность поиска.
➖Лучше подходит для защищённой работы в production, особенно при больших объёмах данных.

Проект пока не включён в официальный PostgreSQL, но развивается на GitHub: github.com/bcgit/pg_tde

✅ Выводы

🔒 pgcrypto отлично подходит для точечного шифрования (например, номеров карт, паспортов, токенов).
⚙️ Но требует внимательной настройки: от схемы доступа до правильных алгоритмов и ключевого хранилища.

🧰 Если вы хотите защищать всю БД или крупные таблицы без боли — обратите внимание на pgTDE.

👀 Главное: инструмент — это только половина дела. Всё зависит от того, как именно вы его внедряете.

Stay secure and read SecureTechTalks 📚

#postgresql #pgcrypto #pgTDE #databaseencryption #infosec #dataatrest #compliance #devsecops #SecureTechTalks #cybersecurity