Le chiffrement au niveau du champ c?té client (CSFLE) dans MongoDB est configuré par cinq étapes clés. Tout d'abord, générez une clé de chiffrement locale de 96 octets en utilisant OpenSSL et le stockez en toute sécurité. Deuxièmement, assurez-vous que votre pilote MongoDB prend en charge CSFLE et installez toutes les dépendances requises telles que la bibliothèque partagée MongoDB Crypt. Troisièmement, définissez un schéma de chiffrement automatique au format JSON spécifiant quels champs à chiffrer et leur méthode de chiffrement. Quatrièmement, configurez le client MongoDB à l'aide de AutoencryptionOpts pour référencer le fichier clé et la carte de schéma permettant un chiffrement automatique pendant les opérations d'insertion et de requête. Cinquièmement, mettez en ?uvre des pratiques de gestion des clés sécurisées, notamment la planification de la migration vers un KMS évitant les clés codées en dur et la gestion de la rotation manuelle des clés si nécessaire. La suite de ces étapes garantit que les données sensibles sont cryptées avant de laisser l'application protégeant la confidentialité et la conformité sans exposer des données non cryptées à la base de données.

La mise en place et la gestion du chiffrement au niveau du champ c?té client (CSFLE) dans MongoDB vous donne un contr?le fin sur la sécurité des données en cryptant des champs sensibles avant de quitter votre application. Cela signifie que la base de données ne voit jamais les données non cryptées, ce qui est idéal pour la conformité et la confidentialité. Mais ce n'est pas le plug-and-play - il y a quelques étapes à bien faire.

Générer une clé locale et configurer votre environnement

Avant de commencer à chiffrer quoi que ce soit, vous avez besoin d'une clé de chiffrement. Avec CSFLE, cette clé reste de votre c?té - d'où ?c?té client?. Vous pouvez générer une clé locale de 96 octets à l'aide d'un outil comme openssl :

 OpenSSL Rand 96> Master-Key.bin

Ce fichier sera utilisé comme clé locale. Assurez-vous de le stocker en toute sécurité - c'est la racine de votre configuration de chiffrement.

Ensuite, assurez-vous que votre pilote MongoDB prend en charge CSFLE. Les pilotes officiels de Node.js, Python, Java et d'autres le soutiennent, mais vous devrez peut-être installer des dépendances ou des bibliothèques supplémentaires comme la bibliothèque partagée MongoDB Crypt.

Définissez votre schéma de chiffrement

CSFLE exige que vous définissiez à l'avance les champs que vous souhaitez crypter et comment. Cela se fait via un schéma spécial appelé schéma de chiffrement automatique . Vous spécifiez cela au format JSON, cartographier des espaces de noms de collection à leurs champs cryptés.

Voici un exemple de base pour une collection appelée mydb.persons où nous voulons crypter le champ ssn à l'aide de AEAD_AES_256_CBC_HMAC_SHA_512-DETERMINISTIN 'Encryption:

 {
  "mydb.persons": {
    "propriétés": {
      "ssn": {
        "Encrypt": {
          "bsaponype": "string",
          "Algorithme": "aead_aes_256_cbc_hmac_sha_512-déterministe"
        }
      }
    },
    "requis": ["ssn"]
  }
}

Vous référerez ce schéma lors de la configuration de votre client MongoDB. Le chiffrement se produit automatiquement pendant les opérations d'insertion et de requête - en supposant que tout le reste est configuré correctement.

Configurez le client MongoDB avec des paramètres de chiffrement automatique

Une fois que vous avez votre clé et votre schéma prêt, vous devez configurer votre client MongoDB pour les utiliser.

Dans le code, cela implique généralement la configuration d'un objet AutoEncryptionOpts qui pointe vers votre fichier clé et votre carte de schéma. Voici un exemple simplifié dans Python:

 de Pymongo Import Mongoclient
de pymongo.encryption_options importations autoencryptionopts

auto_encryption_opts = autoencryptionOpts (
    key_vault_namespace = "Encryption .__ keyvault",
    kms_providers = {"local": {"key": open ("ma?tre-key.bin", "rb"). read ()}},
    schéma_map = schéma # Le schéma dict de plus t?t
)

client = mongoclient (auto_encryption_opts = auto_encryption_opts)

Avec cette configuration, l'insertion dans mydb.persons cryptera automatiquement le champ ssn avant de l'envoyer au serveur. Les requêtes pour ssn seront également déchiffrées automatiquement.

Gardez simplement à l'esprit:

• Les index sur les champs chiffrés ne fonctionneront pas à moins que le chiffrement ne soit déterministe.
• Vous devez gérer attentivement le schéma - si un champ est absent du schéma, il ne sera pas crypté.
• Ne perdez pas votre clé de chiffrement - sans elle, vos données deviennent illisibles.

Gérer attentivement la gestion des clés et tourner

Bien que ce guide utilise une clé locale pour la simplicité, les configurations du monde réel utilisent souvent un service de gestion de clé (KMS) comme AWS KMS ou Azure Key Vault. Ceux-ci offrent une meilleure rotation des clés, audit et contr?le d'accès.

Si vous commencez par une clé locale, planifiez une migration éventuelle vers un KMS. De plus, ne cachez pas les touches dans votre application - chargez-les à partir de fichiers de configuration sécurisés ou de variables d'environnement.

La rotation clé n'est pas automatique non plus automatique. Si vous modifiez les clés, vous devrez réincréner les données existantes manuellement. C'est pourquoi de nombreuses équipes s'en tiennent à une clé à longue durée de vie pour un ensemble de données donné, surtout si des changements rétroactifs ne sont pas nécessaires.

C'est essentiellement ainsi que vous configurez et gérez CSFLE dans MongoDB. Il ajoute une couche de protection difficile à battre lorsqu'il est bien fait, mais il nécessite une planification minutieuse des schémas, des clés et des infrastructures.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!