security - 切断モード用に暗号化キーをローカルに保存する

Question

ユーザーがCouchAppを切断モードで使用できるようにするには、暗号化キーをローカルに保存する必要があります。私が送信するデータは非常に機密性が高く、法律による暗号化が必要です。ただし、切断された状態で実行している場合は、データへのフルアクセスを提供したいと考えています。現在、パスワードキージェネレーターがありますが、これには、ユーザーがレコードを表示するたびにパスワードを入力する必要があります。また、経験豊富な/上級ユーザーが暗号化キーにアクセスしてからローカルデータベースにアクセスする可能性があるため、これは安全ではないようです。基本的に、切断されたセキュリティモデルの経験がある人はいないのか、またはセキュリティを維持しながらアクセスを許可する方法についての指針を提供できるのかどうか疑問に思っています。

Answer 1

クライアントがデータベースに直接接続している場合、すべてのユーザーがデータセット全体にアクセスできます。どうやらあなたはあなたのユーザーを信頼しています...すべてで。この機能は、最も一般的なデータ保護モデルを破ります。攻撃者はSQLインジェクションや安全でない直接オブジェクト参照を必要としません。あなたが彼にすべてを与えているので、攻撃者は彼が何でもつかむことができます。

暗号化があなたの問題をどのように解決するかわかりません。教科書CWE-602違反のようです。