#Шифрування

#Вступ

Деякі конфіденційні бізнес-дані, такі як номери телефонів клієнтів, електронні адреси, номери карток тощо, можуть бути зашифровані. Після шифрування вони зберігаються в базі даних у вигляді шифрованого тексту.

#Способи шифрування

#Принцип роботи

Використовується шифрування конвертів.

#Процес створення ключа

1. При першому створенні зашифрованого поля система автоматично генерує 32-бітний ключ застосунку, який зберігається в каталозі зберігання за замовчуванням у кодуванні Base64.
2. Щоразу при створенні нового зашифрованого поля для нього генерується випадковий 32-бітний ключ поля. Потім він шифрується за допомогою ключа застосунку та випадково згенерованого 16-бітного вектора шифрування поля (алгоритм шифрування AES) і зберігається в полі options таблиці fields.

#Процес шифрування поля

1. Щоразу при записі даних у зашифроване поле спочатку отримуються зашифрований ключ поля та вектор шифрування поля з поля options таблиці fields.
2. Зашифрований ключ поля розшифровується за допомогою ключа застосунку та вектора шифрування поля. Потім дані шифруються за допомогою ключа поля та випадково згенерованого 16-бітного вектора шифрування даних (алгоритм шифрування AES).
3. Дані підписуються за допомогою розшифрованого ключа поля (алгоритм дайджесту HMAC-SHA256) і перетворюються на рядок у кодуванні Base64 (отриманий підпис даних згодом використовується для пошуку даних).
4. 16-бітний вектор шифрування даних та зашифрований шифротекст даних об'єднуються в двійковому форматі, а потім перетворюються на рядок у кодуванні Base64.
5. Рядок підпису даних у кодуванні Base64 та об'єднаний рядок шифротексту даних у кодуванні Base64 з'єднуються, розділені символом ..
6. Кінцевий об'єднаний рядок зберігається в базі даних.

#Змінні середовища

Якщо ви бажаєте вказати власний ключ застосунку, використовуйте змінну середовища ENCRYPTION_FIELD_KEY_PATH. Плагін завантажить файл за вказаним шляхом як ключ застосунку.

Вимоги до файлу ключа застосунку:

1. Розширення файлу має бути .key.
2. Ім'я файлу буде використовуватися як ID ключа; рекомендується використовувати UUID для забезпечення унікальності.
3. Вміст файлу має бути 32-бітними двійковими даними, закодованими в Base64.

ENCRYPTION_FIELD_KEY_PATH=/path/to/my/app-keys/270263524860909922913.key

#Конфігурація поля

#Вплив на фільтрацію після шифрування

Зашифровані поля підтримують лише такі операції: дорівнює, не дорівнює, існує, не існує.

Процес фільтрації даних:

1. Отримайте ключ поля зашифрованого поля та розшифруйте його за допомогою ключа застосунку.
2. Використайте ключ поля для підписання введеного користувачем тексту пошуку (алгоритм дайджесту HMAC-SHA256).
3. Об'єднайте підписаний текст пошуку з роздільником . та виконайте пошук за збігом префікса для зашифрованого поля в базі даних.

#Ротація ключів

Після міграції застосунку в нове середовище, якщо ви не бажаєте продовжувати використовувати той самий ключ, що й у старому середовищі, ви можете замінити ключ застосунку за допомогою команди nocobase key-rotation.

Для виконання команди ротації ключів необхідно вказати ключ застосунку старого середовища. Після виконання команди буде згенеровано новий ключ застосунку, який замінить старий. Новий ключ застосунку буде збережено в каталозі зберігання за замовчуванням у кодуванні Base64.

# --key-path вказує файл ключа застосунку старого середовища, що відповідає зашифрованим даним у базі даних
 yarn nocobase key-rotation --key-path /path/to/old-app-keys/270263524860909922913.key

Якщо ви замінюєте ключ застосунку дочірнього застосунку, необхідно додати параметр --app-name та вказати name дочірнього застосунку.

 yarn nocobase key-rotation --app-name a_w0r211vv0az --key-path /path/to/old-app-keys/270263524860909922913.key