Unternehmen, die eine Code-Überprüfung von Crypto in einer ActiveRecord/Ruby on Rails-Webanwendung durchführen?

Question

Wir haben eine Ruby on Rails-Anwendung geschrieben, die es einem Besucher ermöglicht, ein Formular mit persönlichen Informationen (Name, Adresse & andere vertrauliche Daten) auszufüllen, die in einer Datenbank gespeichert werden, bis die Informationen durch einen Stapelprozess gesammelt werden können Firewall der Einrichtung.

Um zu verhindern, dass Angreifer im Falle einer Datenbankkompromittierung diese vertraulichen Informationen erhalten, haben wir einen Mechanismus entwickelt, mit dem die Benutzereingabe mithilfe von OpenPGP automatisch verschlüsselt wird, bevor sie in der Datenbank gespeichert wird.

Wo kann ich ein Unternehmen finden, das diesen Code bewertet und uns einen Bericht zur Verfügung stellt, den wir unseren Kunden zeigen können? Sie müssten sowohl mit Kryptographie als auch mit ActiveRecord vertraut sein.

Answer 1

Wir tun, www.comsecglobal.com oder www.codefend.com.

Best, Sharone

Answer 2

Matasano sind ein Forschungsunternehmen gute Sicherheit, und sie sind ein Geschäft Rubin.

Answer 3

Gibt es einen besonderen Grund, warum die Datenbank in diesem Fall anfällig ist?

Wenn Ihre Datenbank durch eine Firewall geschützt ist, gewinnen Sie nicht viel von der Verschlüsselung der Daten.

Wenn sich der Verschlüsselungsmechanismus auf demselben System wie die Datenbank befindet, bedeutet eine Kompromittierung der Box wahrscheinlich, dass auf die Daten unabhängig zugegriffen werden kann. Wenn sich der Verschlüsselungsmechanismus nicht auf demselben System befindet, befinden Sie sich in einer etwas besseren Situation, aber mit dieser Architektur können Sie ganz einfach steuern, wer Schreib- und Lesezugriff auf die Datenbank hat - Ihr Webanwendungs-Datenbankbenutzer können sehr begrenzte Schreibrechte gewährt werden, und die Firewall kann den Netzwerkverkehr zwischen der App und der Datenbank steuern. Die Kommunikation zwischen der Webanwendung und der sicheren Datenbank kann unidirektional und über SSL erfolgen.

aktualisieren

Security Enhanced PostgreSQL auch einen Blick wert sein könnte:

Security Enhanced PostgreSQL (SE-PostgreSQL) ist eine Erweiterung der PostgreSQL relationalen Datenbank -Management-System, basierend auf Sicherheits Enhanced Linux (SELinux)‘ s Sicherheit Modell und Politik.