중앙 데이터베이스가 없습니다

매우 민감한 데이터를 처리하는 웹 사이트 / 모바일 앱 / 데스크톱 앱을 만들려고하는 클라이언트가 있습니다 (은행 / 카드 세부 사항보다 더 민감합니다). 데이터의 민감한 특성으로 인해 데이터를 중앙 데이터베이스에 저장하고 싶지 않지만 여전히 앱이 동기화되기를 원합니다 (일부 데이터를 모바일 앱에 추가 한 다음 데스크톱 앱과 동일한 데이터 참조).

나는 이것을하는 훌륭하고 신뢰할 수있는 방법을 생각할 수 없으며 그 방법이 확실하지 않습니다. 내가 여기있는 이유입니다. 누구든지이 데이터를 어떻게 처리 할 수 ​​있는지 알고 있습니까?

내가 생각한 한 가지 해결책은 각 앱마다 클라이언트 측 데이터베이스를 사용하여 앱간에 어떻게 든 동기화하는 것이 었습니다.

많은 민감한 정보가 데이터베이스에 저장됩니다. 실제로 중앙 데이터베이스는 아마도이 데이터를 저장하는 가장 안전한 방법 일 것입니다. 대기업 데이터베이스에는 민감한 정보를 암호화하고 정보에 액세스하는 사람을 감사하고 DBA를 포함한 사람들이 데이터를 보는 것을 제한하거나 막는 등 수많은 기능이 있습니다. 환경을 모니터링하는 전문 보안 전문가와 백업을 감독하는 전문 DBA가있을 수 있습니다. 데이터 손실이 없습니다. 잘 설계된 보안 인프라를 침투하고 적절한 중앙 데이터베이스를 손상시키는 것보다 임의 사용자의 모바일 장치 또는 랩톱에 저장된 데이터를 손상시키는 것이 훨씬 더 쉽습니다.

암호화 된 데이터 만 저장하고 사용자의 개인 키를 사용자의 장치에 저장하는 중앙 데이터베이스로 시스템을 설계 할 수 있습니다. 이렇게하면 중앙 데이터베이스가 완전히 손상 되더라도 사용자 만 데이터를 사용할 수 있습니다. 물론 이는 사용자가 키를 잃어버린 경우 (복사본 만 휴대 전화에 있었고 휴대 전화가 손상된 경우) 데이터를 복원 할 수 없음을 의미합니다. 누군가 누군가 키를 훼손하고 아마도 로그인 자격 증명을 손상 시키면 데이터를 볼 수있을 것입니다.

몇 단계를 백업하고 고객과상의하여 위협 모델을 해결해야 합니다. (예, 600 페이지의 책에 대한 링크입니다. 예, 전체 내용을 읽어 보는 것이 좋습니다.)

위협 모델은 다음과 같은 질문을 통해 시작됩니다.

• 앱이이 민감한 데이터를 먼저 저장해야하는 이유는 무엇입니까?
  • 당신은 전혀 저장을 피할 수 있습니까?
  • 짧은 시간 후에 버릴 수 있습니까?
  • 둘 이상의 장치에서 실제로 액세스 할 수 있어야합니까?
  • 둘 이상의 장치에서 액세스 할 수 있어야하는 경우 둘 이상의 장치에 저장 해야 합니까?
• 각 사용자의 민감한 데이터를 볼 수있는 사람은 누구입니까?
  • 이 목록을 더 짧게 만들 수 있습니까?
• 업무를 수행하는 동안 각 사용자의 민감한 데이터를 접할 수있는 사람은 누구입니까?
  • 이 목록을 더 짧게 만들 수 있습니까 ?
  • 업무 수행 능력을 손상시키지 않으면 서 데이터에 액세스 할 수 없습니까?
  • 액세스 할 수없는 경우 최소한 이해할 수 없게 만들 수 있습니까? (이것은 요약에서 암호화가하는 일입니다. 데이터를 이해할 수 없게 만듭니다.)
• 민감한 데이터를보고 싶은 사람은 누구 입니까?
  • 데이터를 얻을 수있는 기회는 무엇입니까?
  • 데이터가 있으면 데이터로 무엇을하고 싶습니까?
  • 그들이 원하는 것을 얻지 못하면 얼마나 화를 내겠습니까?
  • 그들은 얼마나 많은 돈, 시간, CPU주기 및 인간의 노력을 기꺼이 소비합니까?
  • 데이터를 본 사람 이 누구 인지 알고 있습니까?
  • 특정 사용자의 민감한 데이터 에 액세스하려고 합니까, 아니면 다른 사람이합니까?
  • 그들은 이미 무엇을 알고 있습니까?
  • 그들은 이미 무엇에 액세스 할 수 있습니까?

이러한 질문에 대한 답을 알고 나면 무엇을해야할지 파악하기에 훨씬 좋은 장소에있게됩니다.

각 질문 세트, 특히 공격자 (민감한 데이터를 원하지만 정보를 가질 수없는 사람)를 다루는 질문에 대해 둘 이상의 답변이있을 수 있습니다. 다른 동기, 목표 및 리소스를 가진 적어도 6 가지의 다른 전형적인 공격자를 생각할 수 없다면 아마도 무언가를 놓쳤을 것입니다.

또한 귀하 (및 / 또는 클라이언트)에게 가장 큰 문제 를 야기 하거나 공격이 성공할 경우 미디어에 큰 피해를 입힐 가능성이 가장 높거나 집계 피해 가 가장 큰 공격자 는 공격이 성공하면 개별 사용자에게 큰 피해를 줄 수있는 공격자가 아닙니다 . 고객의 회사는 합리적 피해에 대해 합리적으로 더 관심을 가지지 만, 사용자는 자신에 대한 피해에 대해 합리적으로 더 관심을 갖습니다.

동기화를 수행하는 한 가지 옵션은 피어 투 피어를 수행하는 것입니다. 여기에는 여전히 중앙 서버가 필요하지만 해당 서버는 데이터를 처리하지 않습니다.

장치가 온라인 상태가되면 중앙 서버는 사용자 ID로 알림을받습니다. 동일한 사용자의 두 번째 장치가 온라인 상태가되면 서버는 두 장치 모두 다른 장치의 IP 주소를 보냅니다. 그런 다음 장치는 데이터를 직접 교환 할 수 있습니다. 경고 : 하나의 장치가 서버로 작동해야하므로 하나 이상의 장치가 NAT 라우터 뒤에있을 수 없습니다.

알림 메커니즘과 P2P 교환을 위해 강력한 인증 및 암호화가 필요하다는 것을 잊지 마십시오.

다른 사람의 문제로 만드십시오.

각 앱에 데이터를 로컬로 저장 한 다음 타사 서비스 (Dropbox, Google Drive 등)와 자체 계정을 사용하여 동기화 할 수있는 옵션을 사용자에게 제공합니다. 또한 타사 서비스에 업로드 된 모든 데이터를 암호화하는 방법에 대해 생각해보십시오 (그러면 장단점이 있습니다).

이것은주는 모습 들이 데이터 동기화에 옵트 인으로 갖고 있기 때문에, 사용자가 자신의 데이터를 소유합니다. 공유를 원하지 않는 사람들에게 앱을 유용하게 만듭니다. 또한 공유 데이터를 안전하게 유지해야하는 지속적인 두통에 대해 다른 사람 (기술적으로 그리고 잠재적으로 법적으로)을 책임지게합니다.

고객의 관심사는이 데이터의 가시성에 관한 것 같습니다. 고객에게 물어보아야 할 첫 번째 질문은 데이터가 암호화되었는지, 어디에 저장할 수 있습니까? 그런 다음 고객에게 데이터를 해독하고 처리하기 전에 어떤 종류의 액세스 제어를 원하는지 묻습니다. 해독 키를 어디에 저장할 수 있습니까? 사용자마다 별도의 키입니까? 기타...

고객이 데이터를 어디에도 저장하지 않으려면 매번 사용자가 내 손에 데이터를 입력하기를 원합니까?