{"id":567,"date":"2015-12-10T11:20:13","date_gmt":"2015-12-10T11:20:13","guid":{"rendered":"http:\/\/www.intelli.ch\/?p=567"},"modified":"2016-02-26T09:04:13","modified_gmt":"2016-02-26T09:04:13","slug":"mysql-aes-encription","status":"publish","type":"post","link":"https:\/\/www.dev-metal.ch\/?p=567","title":{"rendered":"Mysql AES Encription"},"content":{"rendered":"

MySql AES Encription<\/h1>\n

Mysql bietet die M\u00f6glichkeit an, Eintr\u00e4ge bzw. Felder verschl\u00fcsselt abzuspeichern. Dazu wird die Stored Function AES_Encrypt und AES_Decrypt angeboten:<\/p>\n

CREATE  TABLE `user` (\r\n`id` BIGINT UNSIGNED NOT NULL AUTO_INCREMENT ,\r\n`first_name` LONGBLOB NULL ,\r\n`address` LONGBLOB NOT NULL ,\r\nPRIMARY KEY (`id`))\r\nENGINE = InnoDB\r\nDEFAULT CHARACTER SET = utf8\r\nCOLLATE = utf8_general_ci<\/pre>\n
<\/p>\n
Mit Standard aes-128-ecb<\/h5>\n
INSERT into user (first_name, address) VALUES (AES_ENCRYPT('Hansueli', SHA2('supersichereraeskeyAlsHash',512)),AES_ENCRYPT('Heimatadresse', SHA2('supersichereraeskeyAlsHash',512)));<\/pre>\n
SELECT AES_DECRYPT(first_name, SHA2('supersichereraeskeyAlsHash',512)) as first_name, AES_DECRYPT(address, SHA2('supersichereraeskeyAlsHash',512)) as address from user;<\/pre>\n
Mit aes-256-cbc<\/h5>\n
Ab Version 5.6.17 bietet MySQL nebst ecb auch noch weitere Modi an. Z.B. 256 bit cbc. CBC ben\u00f6tigt aber zus\u00e4tzlich noch IV-Bytes:<\/p>\n
SET @iv = RANDOM_BYTES(16);<\/pre>\n
IV-Bytes werden entsprechend verwendet:<\/p>\n
ALTER TABLE user ADD COLUMN iv BINARY(16);<\/pre>\n
INSERT into user (id, first_name, address, iv) VALUES (10, AES_ENCRYPT('Hansueli', SHA2('supersichereraeskeyAlsHash',512),@iv), AES_ENCRYPT('Heimatadresse', SHA2('supersichereraeskeyAlsHash',512),@iv),@iv);<\/pre>\n
SELECT AES_DECRYPT(first_name, SHA2('supersichereraeskeyAlsHash',512), (select iv from user where id = 10)) as first_name, AES_DECRYPT(address, SHA2('supersichereraeskeyAlsHash',512),(select iv from user where id = 10)) as address, iv from user where id = 10;<\/pre>\n
Die IV-Bytes m\u00fcssen mit (wirklichem!!) Zufallsprinzip erstellt und abgespeichert werden.<\/p>\n
Verschl\u00fcsselungs-Algorithmus<\/h2>\n
Mysql benutzt per Standard einen 128-bit Schl\u00fcssel mit\u00a0ECB block cipher mode. Das reicht wohl f\u00fcr die meisten Bed\u00fcrfnisse aus. Dies kann aber auch bei Bedarf ge\u00e4ndert werden.<\/p>\n
Anzeigen des verwendeten Algorithmus<\/h3>\n
mysql> SELECT @@session.block_encryption_mode;\r\n+---------------------------------+\r\n| @@session.block_encryption_mode |\r\n+---------------------------------+\r\n| aes-128-ecb                     |\r\n+---------------------------------+\r\n1 row in set (0.00 sec)<\/pre>\n
\u00c4ndern des Algorithmus<\/p>\n
mysql> SET @@session.block_encryption_mode = 'aes-256-cbc';\r\nQuery OK, 0 rows affected (0.00 sec)<\/pre>\n
Der Standard-Algorithmus kann aber auch auf der DB konfiguriert werden. Dazu muss im File\u00a0my.ini folgendes eingetragen werden:<\/p>\n
[mysqld]\r\n...\r\nblock_encryption_mode=aes-256-cbc<\/pre>\n
Zu erw\u00e4hnen ist, dass dieser Standard \u00fcber den obigen SET-Befehl \u00fcbersteuert werden kann.<\/p>\n
 <\/p>\n
Referenzen<\/h1>\n