非接続モードでローカルに暗号化キーを保存する

Question

ユーザーがCouchAppを切断モードで使用できるようにするには、暗号化キーをローカルに保存する必要があります。私が送信するデータは非常に敏感で、法律による暗号化が必要です。ただし、切断された状態ではデータへのフルアクセスを提供したいと考えています。現在、私たちはパスワードキージェネレータを持っていますが、これは、ユーザーがレコードを表示するたびにパスワードを入力する必要があります。また、これは経験豊かで高度なユーザーが潜在的に暗号化キーにアクセスし、次にローカルデータベースにアクセスする可能性があるため安全ではないようです。私は基本的に誰かが切断されたセキュリティモデルの経験があるかどうか、またはセキュリティを維持しながらアクセスを許可する方法の指針を提供できるかどうか疑問に思っています。

Answer 1

クライアントがデータベースに直接接続している場合は、すべてのユーザーがデータセット全体にアクセスできます。どうやら、あなたはあなたのユーザーを信頼しています。ここのこの機能は、最も一般的なデータ保護モデルを破ります。攻撃者はSQLインジェクションや安全ではない直接オブジェクト参照を必要とせず、すべてのものを与えているので、彼はどんなものでもつかむことができます。

暗号化がどのように問題を解決するのか分かりません。それは教科書CWE-602 violationのように見えます。