Re: [pgsql-es-ayuda] Ecriptación

2009/7/6 Alvaro Herrera <alvherre(at)alvh(dot)no-ip(dot)org>:
> Carlos.Zaragoza escribió:
>> Saludos a la comunidad, lo siguiente es mi duda,
>>
>> Es posible y con que herramienta poder tener la información de mi base de
>> datos en postgresql encriptada,
>> Ya que estaré manejando datos financieros, requiero ecrinptar toda la
>> información, hay alguna manera?
>
> Maneras las hay, pero ¿has pensado dónde se van a guardar las llaves de
> cifrado?  ¿Qué llaves hay, y qué descifra cada llave?  ¿Dónde se va a
> hacer el descifrado?  ¿Habrá tráfico de datos sin cifrar a través de la
> red?  Si alguien compromete el servidor de datos ¿podrá ver los datos
> sin cifrar a medida que viajan por la red?  ¿Podrá descubrir la llave?
> Los respaldos ¿van a estar cifrados?  ¿Cómo vas a hacer búsquedas en los
> datos?  ¿Cómo vas a hacer cambios de llave en caso de que creas que una
> fue comprometida?  ¿Cómo vas a hacer cambios periódicos de llaves?
>
> Lo de "tenemos todos los datos encriptados" suena muy seguro, pero si no
> diseñas toda la solución para que sea realmente segura, va a ser sólo
> "teatro de seguridad"(*) puesto que un cracker motivado va a poder
> robarse los datos de todas maneras.  Alguien que dice "encriptamos la
> información en la BD" para describir su solución de seguridad da un
> mensaje muy obvio de ser novato en el tema.
>
> Nota: "to encrypt" se dice en castellano "cifrar".  "Encriptar"
> significa "meter en una cripta", que obviamente no es lo que quieres
> decir.
>
> (*) "security theatre" es una frase usada por Bruce Schneier, que es uno
> de esos expertos tan expertos que la gente hace páginas web con el tema
> de "Bruce Schneier puede factorizar números primos mientras duerme",
> etc.
>

:O eso es cierto, Bruce Schneier participó en el diseño del algoritmo
BlowFish que actualmente es uno de los algoritmos mas potentes que
existe para cifrado de datos, además el señor es tan aficionado a
estos temas que incluso desarrollo un algoritmo que se implementa
mediante un mazo de cartas de naipes para ciffrar textos, tal
algoritmo se llama solitaire[1] como dato curioso ese mismo algoritmo
se menciona en la novela de cyber-punk llamada cryptonomicon[2] bajo
el nombre de algoritmo pontifex (desde ese momento siempre ando
cargando un mazo de naipes en mi mochila junto a la laptop jaja)

[1] http://www.schneier.com/solitaire.html
[2] http://es.wikipedia.org/wiki/Criptonomic%C3%B3n

> --
> Alvaro Herrera                         http://www.flickr.com/photos/alvherre/
> "No hay cielo posible sin hundir nuestras raíces
>  en la profundidad de la tierra"                        (Malucha Pinto)
> --
> TIP 10: no uses HTML en tu pregunta, seguro que quien responda no podrá leerlo
>

--
Un saludo y muchisimas gracias.

Atte: Ing. Jorge Sánchez Escobedo.