Transparent Data Encryption Installationsanleitung

INSTALLATION VON POSTGRESQL 12.X TDE

PostgreSQL 12.x TDE ist eine Version von PostgreSQL, die transparente Datenverschlüsselung unterstützt. Für viele Unternehmen ist es notwendig, Daten auf der Festplatte zu verschlüsseln. PostgreSQL TDE wurde entwickelt, um genau dies auf effizienteste Art und Weise zu tun.

Erfahren Sie hier, wie Sie PostgreSQL TDE Schritt für Schritt auf Linux und Mac OS X installieren können:

1. Herunterladen des Quellcodes
2. Extrahieren und Konfigurieren von PostgreSQL 12 TDE
3. Kompilieren des Codes
4. Einrichten der Schlüsselverwaltung
5. Anlegen einer Datenbankinstanz/Cluster

2. EXTRAHIEREN UND KONFIGURIEREN VON POSTGRESQL 12 TDE

Sobald Sie die Datei heruntergeladen haben, können Sie diese problemlos entpacken. So funktioniert’s:

tar xvfz postgresql-12.X-TDE-1.0beta2.tar.gz 

Es wird ein Verzeichnis erstellt, das den gesamten Quellcode von PostgreSQL TDE enthält. Gehen Sie in das Verzeichnis und führen Sie den folgenden Befehl aus:

Für Mac OS X:

./configure --prefix=/Users/hs/pg12tde \ 
   --with-openssl \
   --with-perl \
   --with-python --with-ldap \
   CPPFLAGS="-I$(brew --prefix openssl)/include" \
   LDFLAGS="-L$(brew --prefix openssl)/lib"

⎟ Hinweis: Bei OS X ist es sinnvoll, HomeBrew zu installieren, um sicherzustellen, dass Sie alle Abhängigkeiten zur Kompilierung des Codes zuerst installieren können. Es ist der einfachste Weg, die gesamte Software dazu zu bringen, PostgreSQL zu kompilieren und auszuführen.

Für Linux:

Unter Linux ist das Kompilieren von PostgreSQL ziemlich einfach. Stellen Sie sicher, dass alle in der Dokumentation beschriebenen Abhängigkeiten erfüllt sind. Dann führen Sie sie folgendes aus:

./configure --prefix=/usr/local/pg12tde --with-openssl --with-perl \
   --with-python --with-ldap

Wenn bei der Konfiguration etwas schief geht, ist es sehr wahrscheinlich, dass Sie ein Paket übersehen haben.

4. EINRICHTEN DER SCHLÜSSELVERWALTUNG

Key management ist ein wichtiger Aspekt. Um eine Datenbankinstanz zu verschlüsseln, muss auch ein geeigneter Schlüssel dafür von irgendwo her kommen. Im Falle von PostgreSQL TDE kommt der Schlüssel von einem externen Programm, das völlig flexibel ist. Im Idealfall kommt der Schlüssel NICHT aus dem lokalen Dateisystem, sondern aus einem entfernten, sicheren Schlüsselspeicher.

Bevor Sie Ihre Datenbankinstanz erstellen, müssen Sie aber einen Code erstellen, um sicherzustellen, dass der Schlüssel während des Starts und der Instanzerstellung von der Datenbank gelesen werden kann.

Hier ist ein möglichst einfaches Beispiel:

 % cat /somewhere/provide_key.sh  #!/bin/sh   echo 882fb7c12e80280fd664c69d2d636913

Alles, was Sie brauchen, ist ein Programm, das den Schlüssel als stdout ausgibt – und das war’s! Stellen Sie sicher, dass PostgreSQL in der Lage ist, dieses Programm auszuführen:

 % chmod +x /somewhere/provide_key.sh 

⎟   Hinweis: Sie müssen kein Shell-Skript schreiben – Sie können jede Art von ausführbarer Datei wie C, Go oder Python verwenden.

ENCRYPTION BEHIND THE SCENES

Der Grund, warum Sie keine zusätzlichen Parameter benötigen, ist, dass initdb die Konfiguration bereits in postgresql.conf für Sie hinzugefügt hat:

 % grep encryption_key postgresql.conf 
 encryption_key_command = '/somewhere/provide_key.sh'

postgresql.conf verfügt bereits über die Informationen, um den Schlüssel beim Start abzurufen. Der Vorteil ist, dass Sie keine bestehenden Skripte anpassen müssen. Die einzige Änderung, die Sie vornehmen müssen, ist das Hinzufügen eines weiteren Parameters zu initdb. Et voilá – Sie sind fertig!

IST MEIN DATENBANK-SERVER NUN VERSCHLÜSSELT?

Die naheliegendste und häufigste Frage ist an dieser Stelle: Ist das wirklich alles? Wie kann ich überprüfen, ob mein Server wirklich verschlüsselt ist? Dazu können Sie pg_controldata verwenden, ein Programm, das einige nützliche Informationen aus Ihrem Datenbankserver extrahiert. Denken Sie daran, dass pg_controldata NICHTS mit TDE zu tun hat – es ist ohnehin vorhanden in PostgreSQL.

Im Falle von PostgreSQL TDE produziert pg_controldata etwas mehr Informationen als üblich:

 % pg_controldata /some_where/ | grep -i encryp
 Data encryption:           on
 Data encryption fingerprint:          740A905130FE614CE0BE36B612157A09

Wie Sie sehen können, ist die Verschlüsselung eingeschaltet und Ihre Daten sind sicher.

Wenn Sie jedoch keinen Zugriff auf den Rechner über SSH haben, gibt es eine zweite Möglichkeit, um zu sehen, ob die Daten verschlüsselt sind:

 test=# SHOW data_encryption;
  data_encryption 
 ----------------
  on
 (1 row)

PostgreSQL TDE bietet eine zusätzliche Variable. data_encryption on / off zeigt Ihnen an, ob die Datenbank verschlüsselt ist oder nicht.