ป้องกันข้อมูลรั่วไหล: เข้ารหัสระดับฟิลด์ด้วย Python และ PostgreSQL

กระแสความกังวลเรื่องความปลอดภัยทางไซเบอร์กลับมาอีกครั้งหลังจากเกิดเหตุการณ์ข้อมูลส่วนบุคคลของประชาชน 8.8 ล้านคนในเดนมาร์กรั่วไหล ซึ่งเมื่อวิเคราะห์เหตุการณ์เจาะระบบขนาดใหญ่ในช่วงหลายปีที่ผ่านมา จะพบว่ารูปแบบความเสียหายมักเกิดจากการที่แฮกเกอร์สามารถเข้าถึงฐานข้อมูลในรูปแบบ plaintext ได้โดยตรง ไม่ว่าจะเป็นผ่านไฟล์สำรองข้อมูลที่หลุด S3 bucket ที่ตั้งค่าความปลอดภัยผิดพลาด ช่องโหว่ SQL injection หรือบัญชี read-only ของฝ่ายวิเคราะห์ข้อมูลที่ถูกขโมยไป ในสถานการณ์เหล่านี้ มาตรการอย่าง TLS หรือการเข้ารหัสฮาร์ดดิสก์ (disk encryption) ก็ไม่สามารถช่วยป้องกันได้เลย

แนวทางปฏิบัติทั่วไปของหลายทีมคือการเลือกเปิดใช้งานการเข้ารหัสผ่านฟังก์ชัน encryption at rest บน Amazon RDS หรือ Google Cloud SQL แล้วจบงาน แต่ในความเป็นจริงแล้ว เลเยอร์การเข้ารหัสเหล่านี้จะทำงานก็ต่อเมื่อมีผู้บุกรุกขโมยฮาร์ดดิสก์กายภาพไปเท่านั้น ทว่าเมื่อมีการส่งคำสั่ง query ผ่าน PostgreSQL ข้อมูลทั้งหมดจะถูกถอดรหัสแบบโปร่งใส (transparent decryption) ให้กับใครก็ตามที่มีสิทธิ์เข้าถึงคำสั่ง SQL ทันที เพื่ออุดช่องโหว่นี้ สถาปัตยกรรมความปลอดภัยที่เหมาะสมจึงต้องลงลึกถึงระดับแอปพลิเคชัน

สำหรับการออกแบบระบบป้องกันข้อมูลส่วนบุคคลหรือ PII (Personally Identifiable Information) เช่น อีเมล หมายเลขโทรศัพท์ หรือเลขประจำตัวประชาชน โดยใช้ภาษา Python ร่วมกับฐานข้อมูล PostgreSQL จะประกอบด้วยองค์ประกอบหลัก 3 ส่วน ได้แก่ การสร้างและจัดเก็บกุญแจเข้ารหัสผ่าน Secret Manager โดยเด็ดขาด ห้ามบันทึกลงในไฟล์ .env ภายใน repository โค้ดอย่างเด็ดขาด พร้อมทั้งการสร้างโครงสร้างตารางฐานข้อมูลที่รองรับข้อมูลเข้ารหัสและดัชนีแบบพิเศษ ดังตัวอย่างโครงสร้างตารางผู้ใช้งาน:

CREATE TABLE users ( id uuid PRIMARY KEY, email_enc bytea NOT NULL, email_bidx bytea NOT NULL, phone_enc bytea, created_at timestamptz NOT NULL DEFAULT now() ); CREATE UNIQUE INDEX users_email_bidx ON users ( email_bidx );

ในการพัฒนาโมดูลจัดการระบบเข้ารหัส (Crypto Module) นักพัฒนาควรใส่ใจในรายละเอียดเชิงเทคนิคที่สำคัญหลายประการเพื่อความปลอดภัยสูงสุด: