사용 중 암호화

개요

C++ 운전자 를 통해 사용 중 암호화 라는 기능 설정하다 를 통해 특정 문서 필드를 암호화할 수 있습니다. 사용 중 암호화 를 사용하면 애플리케이션 에서 데이터를 MongoDB 로 보내기 전에 암호화하고 암호화됨 필드가 있는 문서를 쿼리 할 수 있습니다.

사용 중 암호화 는 권한이 없는 사용자가 일반 텍스트 데이터가 MongoDB 로 전송되거나 암호화됨 데이터베이스 에 있는 동안 볼 수 없도록 합니다. 애플리케이션 에서 사용 중 암호화 를 활성화 하고 데이터 암호 해독 권한을 부여하려면 애플리케이션 만 액세스 할 수 있는 암호화 키를 생성해야 합니다. 암호화 키에 액세스 할 수 있는 애플리케이션만 해독된 일반 텍스트 데이터에 액세스 할 수 있습니다. 공격자가 데이터베이스 에 액세스 하는 경우 암호화 키에 액세스 이 없기 때문에 암호화됨 암호 텍스트 데이터만 볼 수 있습니다.

사용 중 암호화 를 사용하여 다음 유형의 민감한 데이터가 포함된 MongoDB 문서의 필드를 암호화할 수 있습니다.

• 신용 카드 번호

• 주소

• 건강 정보

• 재무 정보

• 기타 민감한 정보 또는 개인 식별 정보(PII)

MongoDB는 사용 중 암호화를 활성화하기 위해 다음과 같은 기능을 제공합니다.

• Queryable Encryption

• 클라이언트 사이드 필드 레벨 암호화

Queryable Encryption

Queryable Encryption은 차세대 사용 중 암호화 기능으로, MongoDB Server 버전 6.0에서 미리보기 기능으로 처음 도입되었으며, MongoDB 7.0에서는 정식 버전(GA) 기능으로 출시되었습니다. Queryable Encryption은 암호화된 필드에 대한 동일성 검색을 지원하고 각 값을 고유하게 암호화합니다.

Queryable Encryption 에 학습 보려면 MongoDB Server 매뉴얼의 Queryable Encryption 을 참조하세요.

클라이언트 사이드 필드 레벨 암호화

클라이언트 사이드 필드 레벨 암호화 (CSFLE)는 암호화됨 필드의 동일성 검색을 지원합니다. CSFLE는 필드를 암호화하기 위해 결정론적 또는 무작위 암호화 알고리즘 선택할 수 있다는 점에서 Queryable Encryption 과 다릅니다. CSFLE를 사용할 때 결정론적 암호화 알고리즘 사용하는 암호화됨 필드만 쿼리 할 수 있습니다. 무작위 암호화 알고리즘 사용하여 CSFLE의 필드를 암호화하는 경우 해독할 수는 있지만 해당 필드에 대해 동일성 쿼리를 수행할 수는 없습니다. Queryable Encryption 사용하면 암호화 알고리즘 지정할 수 없지만 암호화됨 모든 필드를 쿼리 할 수 있습니다.

값을 결정론적으로 암호화하면 동일한 입력 값이 동일한 출력 값을 생성합니다. 결정론적 암호화를 사용하면 암호화된 필드에 대해 쿼리를 수행할 수 있지만 카디널리티가 낮은 암호화된 데이터는 빈도 분석으로 인한 코드 손상에 취약합니다.

이 섹션에서는 다음 메커니즘을 사용하여 CSFLE를 구성하는 방법을 보여줍니다.

• 자동 암호화

• 명시적 암호화

auto data_key_id = client_encryption.create_data_key("local");
auto json_schema = document{} << "properties" << open_document << "encryptedFieldName" << open_document << "encrypt"
                                << open_document << "keyId" << open_array << data_key_id << close_array << "bsonType"
                                << "string"
                                << "algorithm"
                                << "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic" << close_document << close_document
                                << close_document << "bsonType"
                                << "object" << finalize;

// Configure your MongoDB client's encryption options here
class client_encryption client_encryption(std::move(client_encryption_opts));
auto data_key_id = client_encryption.create_data_key("local");
options::encrypt encrypt_opts{};
encrypt_opts.key_id(data_key_id.view());
encrypt_opts.algorithm(options::encrypt::encryption_algorithm::k_deterministic);
// Explicitly encrypts a BSON value
auto to_encrypt = bsoncxx::types::bson_value::make_value("secret message");
auto encrypted_message = client_encryption.encrypt(to_encrypt, encrypt_opts);
// Explicitly decrypts a BSON value
auto decrypted_message = client_encryption.decrypt(encrypted_message);
// Inserts the encrypted value into the database
coll.insert_one(make_document(kvp("encryptedField", encrypted_message)));

options::auto_encryption auto_encrypt_opts{};
auto_encrypt_opts.bypass_auto_encryption(true);
options::client client_opts{};
client_opts.auto_encryption_opts(std::move(auto_encrypt_opts));
class client client_encrypted {uri{}, std::move(client_opts)};

추가 정보

CSFLE에 학습 보려면 MongoDB Server 매뉴얼에서 CSFLE 를 참조하세요.