Proteger Base de donnees

[nico.bzh]

Bonjour,

Je suis en train de mettre en place ACYmailing pour l'envoi d'une newsletter a environ 2000 personnes.
La personne responsable de la liste de diffusion voudrait une protection maximale de cette liste.

Notre inquietude ici n'est donc pas une attaque qui endommagerait le site (une sauvegarde et hop !) mais bien un "vol" de la base de donnees.

Avez vous une experience de ce type de vol ? Comment s'en premunir ?

Mon idee serait de crypter la base de donnees pour la rendre inutilisable en cas de vol. J'ai trouve UserCrypt qui le fait pour la table jos_users. Mais je ne l'ai pas encore teste.

Qu'en pensez vous ?

Nico

[jisse03]

Re : Proteger Base de donnees

Bonjour,

Complètement crypter de manière transparente MySQL, c'est possible, mais tu devras écrire un connecteur pour Joomla (dériver mysql.php en mysqlcrypt)
Documentation: http://dev.mysql.com/doc/refman/5.5/...functions.html.

Et pour sécuriser encore plus, utiliser uniquement OpenSSL pour la connexion http://dev.mysql.com/doc/refman/5.5/...nnections.html, en supprimant la possibilité de se connecter via un pipe.

[nico.bzh]

Re : Proteger Base de donnees

Merci beaucoup.
Malheureusement, je ne sais pas coder. Je pensais donc adapter UserCrypt en utilisant la documentation que tu donnes.

Pour telecharger Usercrypt, il faut s'enregistrer sur le site de codegravity, avec un email de confirmation qui n'arrive jamais ...
Je vais leur envoyer un email pour signaler.

[jisse03]

Re : Proteger Base de donnees

Malheureusement, je ne sais pas coder. Je pensais donc adapter UserCrypt en utilisant la documentation que tu donnes.

Sans savoir programmer, tu peux oublier. UserCrypt n'est pas une solution globale de cryptage d'une base MySQL, mais un encryptage simplifié des données d'une table. Vouloir généraliser UserCrypt serait encore plus complexe que de passer par la dérivation de JDatabase pour créer un connecteur MySQL-Crypt.

[nico.bzh]

Re : Proteger Base de donnees

UserCrypt n'est pas une solution globale de cryptage d'une base MySQL, mais un encryptage simplifié des données d'une table.

Justement, je souhaite juste crypter la table contenant la liste de diffusion, sur le meme principe que usercrypt.

Je suis pas du tout informaticien et je gere juste un site pour mon asso, donc j'ai pas idee de ce qui se fait pour un site commercial.
Est ce que c'est courant de crypter tout ou partie d'une bdd ?
Je suis etonne de ne pas trouver de connecteur deja fait.

[jisse03]

Re : Proteger Base de donnees

Justement, je souhaite juste crypter la table contenant la liste de diffusion, sur le meme principe que usercrypt.

Sans rien connaître en PHP ni en API Joomla!, ce sera déjà très sportif

Est ce que c'est courant de crypter tout ou partie d'une bdd ?
Je suis etonne de ne pas trouver de connecteur deja fait.

Les bases de données cryptées ne sont utilisées en général que dans le cadre d'applications critiques. Et quasiment jamais dans le cadre de sites web publics.

Un connecteur déjà fait ne serait utile que dans des cas bien précis, dépendant énormément du contexte, et de plus nécessitant une configuration particulière (import du certificat SSL dans MySQL, de la clé publique sur le site, mais en emplacement inaccessible directement depuis le web, etc, c'est une opération pas donnée à tous, et d'autant plus que quasiment aucun hébergeur classique (qui représentent quand même plus de 95% des utilisations Joomla!) ne permet le cryptage des bases de données sur serveurs mutualisés. Ce qui expliqu el'absence de connecteurs de ce type.

Et même sur serveurs dédiés, celà implique de bien connaître MySQL (et pas uniquement quelques commandes), de savoir gérer les clés OpenSSL, etc.

[Grand Schtroumpf]

Re : Proteger Base de donnees

Bonjour,
question bête (la meilleure protection étant souvent un bureau fermé à clé) y a-t-il vraiment une obligation pour que cette base soit en ligne ? Un intranet voire un poste de travail sous wampserver ne serait-il pas une solution acceptable ?

[nico.bzh]

Re : Proteger Base de donnees

Un intranet voire un poste de travail sous wampserver ne serait-il pas une solution acceptable ?

Je n'y avais pas du tout pense, mais c'est certainement la securisation la plus efficace !
C'est juste que l'inscription/desincription reste alors manuelle.

Je vais voir cela. Merci