Как устроено шифрование данных

Эта страница для тех, кто хочет проверить, а не поверить на слово. Здесь написано, что именно зашифровано, каким алгоритмом, как устроены ключи и — отдельным разделом — от чего это не защищает.

Коротко

Всё, по чему можно узнать клиента, хранится в базе в зашифрованном виде. Скопировав базу, прочитать в ней нельзя ничего: ключ лежит отдельно.

Психолог этого не замечает. Никаких дополнительных паролей и ключей у него нет: он входит как обычно, пишет заметку, нажимает сохранить. Шифрование происходит перед записью, расшифровка — при показе. Поиск по имени и сортировка списка работают как раньше.

Что именно зашифровано

• имя и фамилия клиента;
• название карточки семьи или группы;
• телефон;
• запрос клиента своими словами и в формулировке терапевта;
• общий комментарий в карточке;
• имена, телефоны и заметки об участниках семьи и группы;
• заметки о сессиях;
• примечание к оплате;
• комментарий о причине переноса или отмены встречи.

Что не зашифровано и почему

Даты и время встреч, длительность, статусы, суммы оплат, ссылки на справочники — «тема запроса», «как узнал о психологе», возрастной диапазон.

Без открытых дат не работает календарь, а без сумм — аналитика практики. Сами по себе эти значения человека не называют: строка «вторник, 15:00, 4 000 ₽, тревожность» без имени и телефона не говорит, о ком речь.

Каким алгоритмом

AES-256-GCM. Это симметричный шифр AES с ключом длиной 256 бит в режиме GCM. Тот же алгоритм работает в защищённых соединениях интернета и в банковских системах.

Режим GCM даёт не только секретность, но и аутентифицированное шифрование: рядом с зашифрованным значением хранится метка целостности. Если кто-то подменит или испортит значение прямо в базе, платформа это заметит и не покажет подделку вместо настоящих данных.

У каждого значения свой одноразовый номер, поэтому два одинаковых имени в базе выглядят по-разному, и по совпадению зашифрованных строк нельзя догадаться, что у двух психологов клиент с одним именем.

Как устроены ключи

Ключи двухуровневые, такая схема называется конвертной.

• У каждого психолога свой ключ. Им зашифрованы только его данные.
• Ключ психолога сам хранится зашифрованным — на главном ключе платформы.
• Главный ключ лежит отдельно от базы данных, в защищённом файле на сервере, и никогда не попадает ни в резервные копии, ни в журналы работы.

Что это даёт. Украденная копия базы бесполезна: в ней нет ни главного ключа, ни открытых данных. Данные разных психологов заперты разными ключами, поэтому одна ошибка не открывает всё сразу.

От чего защищает

• Кто-то получил копию базы данных. Например, утёк файл резервной копии или списанный диск попал не в те руки. Там нечитаемый текст.
• Кто-то со стороны хостинга посмотрел в базу. То же самое: видны даты и суммы, не видно ни одного имени и ни одной заметки.
• Кто-то изменил значение прямо в базе. Платформа это заметит по метке целостности.

От чего не защищает — честно

• От полного взлома работающего сервера. Пока платформа работает, ключ доступен ей, а значит доступен и тому, кто получил полный доступ к серверу. Ни одно шифрование этого не отменяет. Мы уменьшаем вероятность: доступ по ключам, а не по паролю, обновления, минимум открытых наружу служб.
• От того, что произошло со скачанным файлом. Досье и выгрузка данных живут на компьютере психолога своей жизнью, и платформа их больше не контролирует.
• От простого пароля или незаблокированного ноутбука. Если чужой человек вошёл в кабинет под психологом, он видит ровно то же, что видит психолог.

Что будет, если ключ потеряется

Данные не прочитает никто, включая нас. Резервная копия базы здесь не помогает: в ней данные, а ключ хранится отдельно, в двух копиях вне сервера. Это обратная сторона честного шифрования: платформа, которая может восстановить ваши записи без ключа, могла бы их и прочитать.

Вопросы

Пишите на info@mpractice.ru. На технические вопросы отвечаем по существу, в том числе если вы захотите показать эту страницу своему специалисту по безопасности.