Ich habe das Gefühl, dass niemand in der Gruppe, in der ich arbeite, selbst eingeschlossen, Verschlüsselung und Sicherheit oder die Gründe für bestimmte Entscheidungen wirklich beeinträchtigt. Zum Beispiel hatten wir kürzlich ein Gespräch über die Verschlüsselung von Daten, die wir für eine andere Gruppe verarbeiten, mit der wir arbeiten - die Daten landen in einer Datenbank, die sich in unserem sicheren Unternehmensnetzwerk befindet (ich arbeite in einer kleinen Gruppe in einem großen Softwareunternehmen). Daher ist die Integrität des Unternehmensnetzwerks sehr hoch, zusammen mit allem anderen, was wir erledigen. Natürlich fordern Standardrichtlinien eine "Verschlüsselung" dieser Daten.
Dies kann natürlich viele Dinge bedeuten - IPSec / verschlüsselte Verbindungen, verschlüsselte Dateifreigaben, in der Datenbank implementierte Verschlüsselung (gesamte Datenbank oder Spalte), Verschlüsselung der tatsächlichen Bits in der Datei usw. - und einige Personen in der Gruppe befinden sich unter der Eindruck, dass die einzige Art der Verschlüsselung, die wirklich zählt, die direkte Verschlüsselung der gespeicherten Bits ist. Das Argument ist, dass alles andere zu einfach zu umgehen ist. "Wenn die Datenbank verschlüsselt ist, könnte ich mich trotzdem anmelden und die Daten dort sehen. Wenn die Dateifreigabe verschlüsselt ist, kann ich die Datei nur abrufen, solange ich Berechtigungen für den Ordner habe. Wenn die Bits jedoch direkt verschlüsselt sind, kann ich sie nicht lesen. " Mein Instinkt sagt, dass diese Aussage auf einem begrenzten Verständnis basiert: Sie können sich selbst bei SQL Server Management Studio anmelden, um die Daten zu sehen. Da sie jedoch nicht wissen, wie sie einen Stream oder ein Array verschlüsselter Daten verwenden und ein Zertifikat verwenden sollen, auf das sie wahrscheinlich zugreifen können, um es zu entschlüsseln, ist dies wahrscheinlich sicher. Haben sie recht Habe ich recht? Niemand scheint es wirklich zu wissen, daher basieren Entscheidungen auf der Meinung der lautesten oder bestbezahlten Person.
Wie auch immer, das ist nur ein erweitertes Beispiel dafür, wovon ich spreche. Ich denke, es ist der Blinde, der hier den Blinden führt, mit Entscheidungen, die auf begrenztem Verständnis beruhen, und es ist frustrierend. Ich bin kein Experte für technische Aspekte der Verschlüsselung, aber ich weiß, wie man Standardbibliotheken zum Verschlüsseln von Streams und Arrays und dergleichen verwendet. Wo ich wirklich mehr Wissen benötige, ist die Architektur von Datensicherheit und Informationen, auf denen ich Entscheidungen wie die basieren kann über. Wo kann ich über solche Sachen lesen?