acra下載 - acra原始碼下載

acra

其他類別

0.96.0

下載

具有現場級加密和入侵偵測功能的資料庫保護套件。

阿克拉工程實例	文件和教學課程	安裝	阿克拉反饋

什麼是阿克拉

Acra — 用於保護敏感資料和個人資料的資料庫安全套件。

Acra 在一套套件中提供資料欄位的應用程式級加密、多層存取控制、資料庫防洩漏和入侵偵測功能。 Acra 專為將資料儲存在一個或多個資料庫/資料儲存中的分散式應用程式（Web、伺服器端和行動裝置）而設計。

完美與 Acra 相容的應用程式	典型產業
將資料儲存在集中式資料庫或物件儲存中的 Web 和行動應用程式	醫療保健、患者應用程式金融、金融科技、新銀行軟體即服務關鍵基礎設施用戶數超過 1000 的應用
在雲端收集遙測資料和處理資料的 IoT 應用程式
高負載數據處理應用程式

Acra 為您提供了在將每個敏感資料記錄（資料欄位、資料庫單元、json）儲存到資料庫/檔案儲存之前對其進行加密的工具。然後在安全隔離區域（阿克拉一側）解密它們。 Acra 允許儘早加密資料並對加密資料進行操作。

Acra 的加密設計可確保從應用程式或資料庫洩漏的任何秘密（密碼、金鑰等）都不足以解密受保護的資料。 Acra 最大限度地減少洩漏範圍、偵測未經授權的行為並防止洩漏，並通知操作員正在發生的事件。

這是 Acra 社群版，商業和非商業用途永遠免費。

主要安全功能


應用程式級加密	用戶端和/或 Acra 端加密 – 每個資料欄位都使用唯一的加密金鑰進行加密。
選擇性加密	您可以選擇要加密的列以平衡良好的安全性和效能。
快速可靠的加密貨幣	兩個加密信封：AcraBlocks 和 AcraStructs。 AcraBlocks 是快速對稱容器，預設使用它們。 AcraStructs 是非對稱容器，使用它們進行客戶端加密。
可搜尋加密	搜尋加密資料而不解密。專為精確查詢而設計，基於 AES-GCM 和盲索引。
屏蔽/匿名化	使用完全或部分屏蔽來刪除或屏蔽敏感資料。
代幣化	用令牌替換敏感數據，並僅在需要時將其與原始數據進行匹配。
基本金鑰管理工具	用於金鑰產生、匯出、備份、輪替等的內建工具。
阻止可疑的 SQL 查詢	透過內建的 SQL 防火牆。
入侵偵測	使用有毒記錄（蜂蜜令牌）來警告可疑行為。
無需資料重新加密的金鑰輪換 ᵉ	可供 Acra Enterprise 用戶使用。
KMS 支援ᵉ
受加密保護的審核日誌ᵉ

Acra 為資料生命週期的不同部分和階段提供不同的防禦層。這就是深度防禦——一組獨立的安全控制，旨在在攻擊者越過外圍時減輕多種風險。

多種整合方式

AcraServer：透明的 SQL 代理	所有 Acra 功能都打包到資料庫代理程式中，該代理程式解析應用程式和資料庫之間的流量，並在適當的情況下應用安全功能。
AcraTranslator：加密即服務 API	API 伺服器，將 Acra 的大部分功能公開為具有流量保護的 HTTP / gRPC API。
AcraConnector：傳輸身份驗證和加密	用於身份驗證和傳輸加密的可選客戶端服務。
AnyProxy：透過 SDK 將 Acra 與任何資料庫/資料儲存結合使用 ᵉ	可供 Acra Enterprise 用戶使用。
AcraWriter：用於客戶端加密的 SDK ᵉ
AcraReader：用於客戶端解密的 SDK ᵉ
SDK for AcraTranslator：封裝 AcraTranslator API 的客戶端 SDK ᵉ
AcraTranslator 的批量 API ᵉ

開發人員和 DevOps 友好

安全預設設定	您的基礎架構從一開始就是安全的，無需額外配置。
密碼學是隱藏的在引擎蓋下	沒有選擇錯誤密鑰長度或演算法填充的風險。
自動化友善	易於配置和自動化。
基礎設施快速整合	透過二進位包或 Docker 映像。
輕鬆的客戶端集成	需要對應用程式程式碼進行最少的更改。
日誌記錄、指標、跟踪	貫穿所有 Acra 組件；相容於 ELK 堆疊、Datadog、Graylog、Prometheus、Grafana、Jaeger。
沒有供應商鎖	將資料庫解密為明文的回溯實用程式。
演示和範例	有大量基於 Web 和基於 Docker 的範例專案可用。
DigitalOcean Acra 一鍵應用程式	在您的 DigitalOcean 雲端中執行 AcraServer。
可用的託管解決方案	我們可以為您設定和管理 Acra。

密碼學

Acra 依賴我們的密碼庫 Themis，該庫基於最可靠密碼的最佳可用開源實作來實現高級密碼系統。 Acra 嚴格不含自製的加密原語或晦澀的密碼。

為了提供獨特的保證，Acra 依靠眾所周知的密碼和智慧金鑰管理方案的組合。請參閱密碼學和密鑰管理。

預設加密原始來源	開放式SSL
支援的加密原始源ᵉ	BoringSSL、LibreSSL、符合 FIPS、符合 GOST、HSM
儲存加密（AcraBlocks）	AES-256-GCM + AES-256-GCM
儲存加密 (AcraStructs)	AES-256-GCM + ECDH
傳輸加密	TLS v1.2+ 或 Themis 安全會話
KMS 整合ᵉ	Amazon KMS、Google 雲端平台 KMS、HashiCorp Vault、Keywhiz 等

ᵉ — 僅在 Acra 企業版中可用。請給我們發送電子郵件以獲取完整的功能清單和報價。

阿克拉如何運作？

Acra 由多種服務和公用設施組成。 Acra 服務可讓您建立無限複雜的資料流，完全適合您的特定基礎架構。根據您的架構和用例，您可能只需要部署基本服務或全部服務。

安全執行元件：「發生加密」的服務。其中之一是必需的：AcraServer、AcraTranslator、AnyProxy 或客戶端 SDK。
金鑰儲存： Acra 保存加密金鑰的資料儲存：Redis、資料庫中的表、任何 KV 儲存。其中之一是必需的。
主密鑰儲存： KMS、Vault。強烈推薦其中之一。
附加服務與公用程式：金鑰管理公用程式、資料遷移腳本、傳輸安全服務、策略管理工具。其中任何一個都是可選的。

請參閱 Acra 深入/架構以了解有關 Acra 組件的更多資訊。請參閱 Acra 深入/資料流，以了解更多典型的基於 Acra 的資料流和部署。

使用 AcraServer 保護 SQL 資料庫中的數據

讓我們看看 AcraServer 最簡單的資料流。

AcraServer 作為 SQL 資料庫的透明加密/解密代理程式。應用程式在資料到達資料庫之前不知道資料已加密，資料庫也不知道有人已加密資料。這就是為什麼我們經常稱這種模式為「透明加密」。

使用AcraServer進行伺服器端加解密

您有一個與 SQL 資料庫對話的客戶端應用程式。您在中間新增 AcraServer，作為 SQL 代理，並將應用程式指向它。

這是向資料庫寫入資料和從資料庫讀取資料的過程如下所示：

您部署 AcraServer 並對其進行配置：連接到資料庫、TLS 憑證、選擇要加密、屏蔽或標記化的欄位、啟用 SQL 請求防火牆等。
AcraServer 部署完成後，就可以接受 SQL 請求。
您將客戶端應用程式指向 AcraServer 而不是 SQL 資料庫。
從應用程式接收 SQL 查詢後，AcraServer 會解析每個查詢並執行安全性操作：加密、屏蔽、標記化。為了知道要更改哪些值，AcraServer 使用一個配置文件，您在其中描述了哪些列應該被加密、屏蔽、標記化。
執行操作後，AcraServer 將修改後的查詢傳遞給資料庫，並將資料庫回應傳回客戶端應用程式。假設您選擇對電子郵件欄位進行加密：這表示原始字串被加密到加密容器中並以二進位資料傳送到資料庫。
當客戶端應用程式想要讀取資料時，它會向 AcraServer 發送 SELECT 查詢，然後 AcraServer 將其傳送到資料庫。
檢索資料庫回應後，AcraServer 嘗試解密、去屏蔽、去令牌化指定字段，並將其傳回給應用程式。
應用程式以明文形式接收資料。

除了資料處理操作之外，AcraServer 還分析SQL 查詢：使用內建的可設定SQL 防火牆阻止不必要的查詢，使用有害記錄偵測SQL 注入，發送日誌和指標，並在可疑情況下向您的營運團隊發出警報。

查看指南：將 AcraServer 整合到基礎架構中，以了解有關 AcraServer 功能及其使用方法的更多資訊。

使用 AcraTranslator 保護任何檔案儲存中的數據

讓我們看看 AcraTranslator 的最簡單的資料流。

AcraTranslator 使用 HTTP 和 gRPC API 作為加密即服務。應用程式向 AcraTranslator 發送包含資料欄位和操作（加密、解密、標記化、去標記化等）的 API 請求。該應用程式負責將加密資料儲存在資料庫（NoSQL、KV 儲存、SQL、AWS S3 – 任何）中，並與 AcraTranslator 通訊以將其解密。

AcraTranslator 和 AcraServer 是完全獨立的伺服器端元件，可根據您的基礎架構一起或單獨使用。

使用AcraTranslator進行伺服器端加解密

您有一個客戶端應用程序，它知道要加密、解密、標記化哪些欄位以及將它們儲存在哪裡。您新增 AcraTranslator，並指導應用程式執行 API 呼叫以使用它。

這是向資料庫寫入資料和從資料庫讀取資料的過程如下所示：

您在基礎架構中部署 AcraTranslator 並設定 TLS 憑證。
部署 AcraTranslator 後，它可以接受 API 要求。
您的應用程式呼叫 AcraTranslator 並傳送資料欄位和對其進行的操作（加密、解密、標記化、去標記化）。
收到 API 請求後，AcraTranslator 執行所需的操作並將結果傳送回應用程式。假設應用程式發送“電子郵件”欄位和“加密”操作。在這種情況下，原始字串被加密到加密容器中並作為二進位資料發送回應用程式。
應用程式獲取加密資料並將其儲存在資料庫/資料儲存中。
一旦應用程式需要獲取明文數據，它就會從資料庫/資料儲存中讀取加密數據，並向 AcraTranslator 發送 API 請求。假設應用程式會傳送「電子郵件」欄位和「解密」操作。在這種情況下，原始資料（二進位 blob）將被解密為字串並發回應用程式。

除了資料處理操作之外，AcraTranslator 還分析 API 查詢：使用有害記錄偵測入侵、傳送日誌和指標，並在可疑情況下向您的營運團隊發出警報。

查看指南：將 AcraTranslator 整合到基礎架構中，以了解有關 AcraServer 功能及其使用方法的更多資訊。

可用性

相容性和集成

Acra 是一套元件，其中大部分是“伺服器端”，這意味著您可以部署和設定 AcraServer、AcraTranslator 或 AnyProxy，並將客戶端應用程式連接到它們。

Acra 元件與眾多 RDBMS、物件和 KV 儲存、雲端平台、外部金鑰管理系統 (KMS)、負載平衡系統相容。

雲端平台	DigitalOcean、AWS、GCP、Heroku、任何
關係型資料庫管理系統	MySQL v5.7+、PosgtreSQL v9.4-v11、MariaDB v10.3； Google雲端 SQL、亞馬遜 RDS
物件儲存	檔案系統、KV 資料庫、Amazon S3、Google Cloud DataStore
負載平衡	HAProxy、雲端平衡器
伺服器端平台	Ubuntu、Debian、CentOS、RHEL；碼頭工人
客戶端應用程式語言	任何：）

開源 Acra 的整合支援有限，更多服務僅在 Acra 企業版中提供。

伺服器端

伺服器端 Acra 元件（AcraServer、AcraTranslator、AnyProxy）應在單獨的伺服器/虛擬機器上運行，以實現更好的隔離和劃分。金鑰管理實用程式和資料庫助理通常與 AcraServer、AcraTranslator、AnyProxy 在同一台伺服器上執行。

伺服器端 Acra 元件在大多數 Linux 發行版（Ubuntu、Debian、CentOS）上運行並作為 Docker 映像運行。請注意，伺服器端 Acra 元件與作為主機作業系統的 Windows 作業系統不相容，請考慮使用 Docker。

請參閱入門了解如何安裝 Acra 或無需編碼即可試用 Acra。

客戶端

Acra 可與任何用戶端應用程式搭配使用。無論您使用什麼語言編寫應用程序，您都可以將它們連接到 AcraServer（透過 SQL）和 AcraTranslator/AnyProxy（透過 API）來加密、解密、標記和屏蔽資料。

Acra 提供了一組客戶端 SDK，僅在特定用例中有用：

AcraWriter – 用於將資料欄位加密到 AcraStructs 的 SDK。當應用程式端的資料加密很重要時（用於建立端對端加密資料流或在敵對環境中工作），請使用它。
AcraReader – 用於解密 AcraStructs 資料欄位的 SDK。當在應用程式端解密資料很重要時（用於建立端對端加密資料流或在敵對環境中工作），請使用它。
SDK for AcraTranslator – 封裝了 AcraTranslator API 的 SDK，使用更方便。

這些 SDK 適用於 Ruby、Python、Go、C++、Node.js、iOS（Swift、ObjC）、Android（Java、Kotlin）、桌面 Java 和 PHP。

安裝和啟動

請參閱入門了解如何安裝 Acra 或無需編碼即可試用 Acra。

無需編寫程式碼即可嘗試 Acra

Acra 範例專案說明了 Acra 資料保護套件與現有應用程式的整合：基於 Django 和 Ruby on Rails 框架的 Web 應用程式以及簡單的 CLI 應用程式。我們採用了知名的應用程序，檢測其中的敏感資料並添加了加密層。保護資料對使用者來說是完全透明的，並且只需要對基礎架構和應用程式程式碼進行最少的更改。