칼럼만 잠급니다
주민등록번호, 계좌번호, 이메일, 카드번호처럼 보호할 칸만 지정합니다. 나머지 칼럼은 기존처럼 조회합니다. 디스크 암호화와 달리, 데이터베이스에 로그인했다고 그 칸이 바로 읽히지는 않습니다.
03 · 칼럼 암호화
칼럼만 암호화하고, 키는 밖에 둡니다
PostgreSQL, MySQL, SQL Server의 민감 칼럼을 AES-256-GCM으로 잠급니다. 데이터 키와 그 키를 감싸는 키를 나누고, 정책으로 복호화 권한과 회전 주기를 정합니다.
동작
키는 두 층입니다
KEK를 교체하면 데이터 전체를 다시 암호화하지 않고 DEK를 다시 감쌉니다. DEK를 교체할 때는 칼럼 값을 새 키로 다시 쓰며, 그 동안에도 칼럼 조회는 유지됩니다. 외부에서 만든 KEK를 가져오는 경로와, 데이터를 밖으로 보내지 않는 자체 호스팅 키 저장소를 매뉴얼에서 안내합니다.
누가 풀 수 있는지는 정책입니다
정책에 키, 테이블, 칼럼, 주체(역할·서비스 계정), 허용 연산, 회전 주기를 적습니다. CLI, 대시보드, REST API로 다룹니다. 키 바이트 자체는 내보내지 않고, 이름·알고리즘·상태·회전 일정 같은 메타데이터만 조회합니다.
명세
- 단위
- 테이블이 아니라 칼럼
- 데이터베이스
- PostgreSQL, MySQL, SQL Server
- 알고리즘
- AES-256-GCM
- 데이터 키
- DEK. 칼럼 값을 직접 암호화
- 키 암호화 키
- KEK. DEK를 감싸 저장. 평문 DEK는 두지 않음
- 애플리케이션
- 세션 토큰이 있으면 기존 SELECT/INSERT 유지
- 직접 접속
- 토큰이 없으면 암호문
- 회전
- 정책 일정 30·60·90·180·365일, 또는 수동
- 감사
- 키 생성·회전·폐기, 정책 변경, 암복호화