SelectWhereQuery auf verschlüsselten Spalten durch Methodik beschleunigen

[Uwe Raabe]

Ich konnte jetzt keine Aussage dazu finden, aber das hast du sicher schon versucht?

SQL-Code:

SELECT "id","name","vorname" FROM "schema"."personen" WHERE "name" ILIKE 'Albert%';

[UntoterGeist]

@Blup
Achso war das gemeint, jetzt versteh ich deinen Ansatz.

@Uwe
Die relevanten Spalten haben den Datentyp bytea und sind durch die DB verschlüsselt worden. Man kann also nicht direkt auf die Spalten ILike anwenden. Man muss die Spalte schon vor dem Vergleich entschlüsseln lassen. Sonst sucht man (wenn man das in Text umcastet) nur in Datensalat herum. Die Datenbank macht das also nicht automatisch, kann sie auch garnicht, weil sie den Schlüssel dann nicht hat. Bei Oracle ist der Masterkey z.B. in der Datenbank hinterlegt. An dem Rechenaufwand ändert sich für Oracle dadurch aber auch nichts.

Da AES nicht homomorph ist kann man keine Suchoperationen auf den Verschlüsselten Text durchführen. Homomorphe Verschlüsselung ist aber glaube auch weniger sicher, weil die Strukturen erhalten bleiben. So wird das jedenfalls beschrieben. Bei diesen Verschlüsselungen könnte man den Suchtext verschlüsseln und das Ergebnis direktin den Spalten suchen.

Deshalb muss man das so schreiben:

Code:

SELECT
"id",
pgp_sym_decrypt("name",'geheimerSchlüssel') AS name,
pgp_sym_decrypt("vorname",'geheimerSchlüssel') AS vorname

FROM "schema"."personen"

WHERE pgp_sym_decrypt("name",'geheimerSchlüssel') ILIKE 'Albert%';

Postgres ist übrigens so schlau, das Ergebnis einer Spalte die schon entschlüsselt wurde zwischen zu speichern. Deshalb kostet der folgende Query nicht wirklich mehr Zeit als der vorige.

Code:

SELECT
"id",
pgp_sym_decrypt("name",'geheimerSchlüssel') AS name,
pgp_sym_decrypt("vorname",'geheimerSchlüssel') AS vorname

FROM "schema"."personen" WHERE pgp_sym_decrypt("name",'geheimerSchlüssel') ILIKE 'Albert%'
OR "schema"."personen" WHERE pgp_sym_decrypt("name",'geheimerSchlüssel') ILIKE 'Peter%'
OR "schema"."personen" WHERE pgp_sym_decrypt("name",'geheimerSchlüssel') ILIKE 'Daniel%';

[UntoterGeist]

Hab eine Lösung gefunden =D

Auch wenn ich das vorher doof fand. Das Hashen von Teilstrings, was ich erwähnt hatte, nennt sich BlindIndexing. So an sich ist das immer noch doof. Man muss den Strings schon ein Salt mitgeben. Sonst ist "abc" leicht raus zu finden. Das ermitteln geht ganz automatisch mit Rainbowtables. Und dann wüsste jeder zumindest die ersten Buchstaben. Mit Salt wird aber "blablablubabc" daraus. Das kann man bis zu den ersten 3, 4 Buchstaben machen. Zwar gibts dann in der DB noch viele Übereinstimmungen an Hashs, aber was sie bedeuten lässt sich nicht mehr erraten. Suchen tut man dann über eine Vorslektion auf die Hashs. In Kombi mit der Suchspalte, die alles enthält wonach gesucht werden kann, erhält man ein gutes Ergebnis.

[jobo]