Реалізація шифрування персональних даних на сайті

При витоку бази даних зловмисник отримує SQL-дамп з тисячами рядків — ІПН, паспорти, медичні записи. Якщо дані зберігаються у відкритому вигляді, це катастрофа: штрафи за 152-ФЗ до $4.5k–6.5kів, втрата репутації, відтік клієнтів. Шифрування на рівні застосунку — єдиний спосіб знецінити дані для атакуючого. Навіть отримавши базу, без ключів шифротекст марний. Ми впроваджуємо шифрування в проєктах з високими вимогами до безпеки: fintech, medtech, gov. Ми реалізували понад 30 проєктів із захисту ПДн. Наші інженери мають сертифікати CISSP, і ми гарантуємо відповідність 152-ФЗ та GDPR. Проведемо аудит вашої системи за 2-3 дні — зв'яжіться з нами.

Розкажу на прикладі реального впровадження в медичній CRM з 50 000 пацієнтів з нашої практики.

Чому шифрувати дані на рівні застосунку?

Шифрування на рівні бази даних (TDE) не захищає від адміністраторів БД або SQL-ін'єкцій. Застосунок сам керує ключами: дані шифруються до запису і розшифровуються тільки авторизованими запитами. Це дає гранулярний контроль доступу та ізолює дані від інфраструктури.

Які дані шифрувати, а які хешувати?

Дані для шифрування

• ІПН, СНІЛС, серія/номер паспорта
• Медичні дані, діагнози
• Фінансові дані, номери карток (PCI DSS вимагає окремого підходу)
• Біометрія

Дані для хешування

• Паролі → bcrypt, Argon2id
• Секретні токени, API-ключі

Для пошуку за зашифрованими полями використовуємо детерміноване шифрування або токенізацію — про це далі.

Вибір алгоритму: AES-256-GCM vs ChaCha20-Poly1305

AES-256-GCM — стандарт для шифрування даних у спокої. За наявності AES-NI він у 3 рази швидший за ChaCha20-Poly1305. Якщо сервер без підтримки AES-NI, ChaCha20-Poly1305 — надійна альтернатива. RSA-OAEP використовують для шифрування ключів або коли не можна розшифрувати на сервері. Детальніше про AES-GCM.

На основі рекомендацій OWASP та NIST.

Практична реалізація шифрування в Laravel

// app/Casts/EncryptedCast.php
class EncryptedCast implements CastsAttributes
{
    public function get($model, string $key, $value, array $attributes): ?string
    {
        if (is_null($value)) {
            return null;
        }
        try {
            return Crypt::decryptString($value);
        } catch (DecryptException) {
            return null;
        }
    }

    public function set($model, string $key, $value, array $attributes): ?string
    {
        if (is_null($value)) {
            return null;
        }
        return Crypt::encryptString($value);
    }
}

// В моделі
class Patient extends Model
{
    protected $casts = [
        'passport_number' => EncryptedCast::class,
        'medical_notes' => EncryptedCast::class,
        'snils' => EncryptedCast::class,
    ];
}

// Використання — прозоро для коду
$patient->passport_number = '4510 123456'; // автоматично шифрується
$decrypted = $patient->passport_number; // автоматично розшифровується

Які переваги дає envelope encryption?

Зберігати ключі шифрування в базі даних разом із зашифрованими даними — безглуздо. Найкраща практика — envelope encryption: дані шифруються Data Encryption Key (DEK), DEK шифрується Key Encryption Key (KEK), KEK зберігається в KMS/Vault. Це дозволяє перешифрувати дані без доступу до KEK та спрощує ротацію.

HashiCorp Vault:

$vault = new Vault([
    'address' => 'https://vault.internal:8200',
    'token' => env('VAULT_TOKEN'),
]);

$keyData = $vault->read('secret/data/app-encryption-key');
$encryptionKey = $keyData['data']['key'];

AWS KMS:

use Aws\Kms\KmsClient;

$kms = new KmsClient(['region' => 'eu-west-1']);

$result = $kms->encrypt([
    'KeyId' => 'arn:aws:kms:eu-west-1:123456:key/abc-123',
    'Plaintext' => $sensitiveData,
]);

$encryptedData = base64_encode($result['CiphertextBlob']);

Як шукати за зашифрованими даними?

Звичайний AES-GCM генерує різний шифротекст для одного й того ж значення. Пошук за зашифрованим полем неможливий. Рішення:

Варіант 1: Хеш для пошуку + шифрування для зберігання:

class PersonalDataRepository {
    public function findByPassport(string $passport): ?Patient
    {
        $hash = hash_hmac('sha256', $passport, config('app.search_key'));
        return Patient::where('passport_hash', $hash)->first();
    }

    public function store(string $passport): void
    {
        Patient::create([
            'passport_data' => Crypt::encryptString($passport),
            'passport_hash' => hash_hmac('sha256', $passport, config('app.search_key')),
        ]);
    }
}

Варіант 2: PostgreSQL pgcrypto:

INSERT INTO patients (passport) VALUES (pgp_sym_encrypt('4510 123456', current_setting('app.encryption_key')));
SELECT pgp_sym_decrypt(passport::bytea, current_setting('app.encryption_key')) FROM patients WHERE id = 1;

Порівняння методів захисту даних

Кейс: шифрування в медичній CRM (з нашої практики)

Клієнт — мережа клінік з 50 000 пацієнтів. Потрібно було зашифрувати паспортні дані, СНІЛС, діагнози. Обрали AES-256-GCM + envelope encryption з HashiCorp Vault. Реалізували Laravel Casts для прозорого шифрування. Для пошуку за номером полісу додали HMAC-хеш. Підсумок: час відгуку не змінився, аудит безпеки пройдено, отримано сертифікат відповідності 152-ФЗ. Рішення масштабується на будь-яку кількість записів.

Що входить в роботу

• Розробка архітектури шифрування з урахуванням бізнес-логіки
• Вибір алгоритмів та схеми управління ключами (envelope encryption)
• Інтеграція з HashiCorp Vault або AWS KMS
• Реалізація прозорого шифрування на рівні ORM (Laravel, Doctrine тощо)
• Налаштування детермінованого шифрування для пошуку
• Ротація ключів з zero-downtime
• Аудит доступу та логування операцій
• Документація для команди та навчання розробників
• Передача доступів та тестові сценарії

Процес впровадження та терміни

1. Проектування схеми шифрування та управління ключами (1-2 дні).
2. Реалізація шифрування на рівні моделей (2-3 дні).
3. Інтеграція з зовнішніми сховищами ключів (5-7 днів).
4. Детерміноване шифрування для пошуку (+3 дні).
5. Реалізація ротації ключів з zero-downtime (+2 дні).
6. Аудит доступу та логування операцій (+1-2 дні).
7. Документація та навчання команди (+1 день).

Підсумковий термін — від 2 тижнів до 2 місяців залежно від обсягу даних та складності бізнес-логіки. Отримайте консультацію із захисту ПДн вже сьогодні — зв'яжіться з нами, ми оцінимо ваш проєкт та запропонуємо рішення під ключ.