MongoHQを使い始めました｡ﾕｰｻﾞｰとﾊﾟｽﾜｰﾄﾞを接続時に指定しますが､これはSSLなどで認証･暗号化されているのでしょうか？されているかどうかがわかるURLを教えて下…

人力検索はてな

ﾓﾊﾞｲﾙ版を表示しています｡PC版はこちら

MongoHQを使い始めました｡ﾕｰｻﾞｰとﾊﾟｽﾜｰﾄﾞを接続時に指定しますが､これはSSLなどで認証･暗号化されているのでしょうか？されているかどうかがわかるURLを教えて下さい｡

●質問者: kabisuke
●ｶﾃｺﾞﾘ:ｺﾝﾋﾟｭｰﾀｳｪﾌﾞ制作
○ 状態 :終了
└ 回答数 : 3/3件

▽1 ● うぃんど
●50ﾎﾟｲﾝﾄ

URLを見ると判りますよ｡

httpではなくhttps(HTTP over SSL/TLS)となっていますので､
SSL/TLSを使っています｡

https://mongohq.com/login

いらないとは思いますが､他の人もみるでしょうから､辞書も追加しておきます｡
http://e-words.jp/w/HTTPS.html

HTTPS【HTTP over SSL/TLS】

通信ﾌﾟﾛﾄｺﾙの種別などを表すURIｽｷｰﾑの一つで､Webのﾃﾞｰﾀ転送に用いられるHTTPが､SSLやTLSで暗号化されている状態を表したもの｡WebｻｰﾊﾞとWebﾌﾞﾗｳｻﾞの間の通信が暗号化されていることを意味し､通信経路上での盗聴や第三者によるなりすましを防止する｡

http://www.atmarkit.co.jp/aig/02security/https.html
http://ja.wikipedia.org/wiki/HTTPS

kabisukeさんのｺﾒﾝﾄ
質問が悪くてくみません､ MongoDBの管理ｺﾝｿｰﾙでなく､ MongoDBのﾃﾞｰﾀなどをｱﾌﾟﾘｹｰｼｮﾝなどから操作するときの暗号化について､です｡

うぃんどさんのｺﾒﾝﾄ
通信を秘匿する環境は､別途用意することになりますね｡ﾄﾞｷｭﾒﾝﾄではVPNを例にあげてますが､社内利用のようにLAN内での話しであれば､ OSのﾕｰｻﾞｰｱｸｾｽ管理ﾚﾍﾞﾙでｱｸｾｽ拒否するなどで対応すれば楽ですね｡ http://jp.docs.mongodb.org/master/tutorial/deploy-geographically-distributed-replica-set/ >> Aｻｲﾄと Bｻｲﾄ (あればCｻｲﾄも)のｼｽﾃﾑ間のﾊﾞｰﾁｭｱﾙﾌﾟﾗｲﾍﾞｰﾄﾈｯﾄﾜｰｸを設置して､ｻｲﾄ間の全ﾄﾗﾌｨｯｸを暗号化し､ﾌﾟﾗｲﾍﾞｰﾄに保ちます｡ <<

kabisukeさんのｺﾒﾝﾄ
ありがとうございます｡やはりMongoDB自体は暗号化通信をｻﾎﾟｰﾄしてないのですね？今はMongoHQなんですが､これはﾛｰｶﾙﾈｯﾄﾜｰｸではないから安全な通信は無理ってことですかね｡

うぃんどさんのｺﾒﾝﾄ
きっちりかっちり見たわけではないですが､ php用のﾄﾞﾗｲﾊﾞなどを見てみると接続は平文(暗号化されてない)ですね｡ https://github.com/mongodb/mongo-php-driver ただ･･･ｸﾗｲｱﾝﾄから直接ｱｸｾｽするのではなく､ WEBｻｰﾊﾞｰにあるrubyとかphpなどからのｱｸｾｽになるので､顧客ﾃﾞｰﾀのような重要なものを置かない限りは気にしすぎと言えるかもしれませんし､心配であればﾃﾞｰﾀを暗号化して保存するようにすることでも十分だと思われます｡

kabisukeさんのｺﾒﾝﾄ
ﾛｸﾞｲﾝ操作そのものが秘匿化されていないと､傍受されてｱｶｳﾝﾄを乗っ取られる可能性がある(とくにMongoHQみたいな有名なｻｰﾋﾞｽだと尚更危ない)ので､そこの部分が特に知りたかったのですが､MongoDBの認証ﾌﾟﾛﾄｺﾙはa-kuma3さんの回答にある通りDigest認証なので､そこは大丈夫なようですね｡ただ､ﾃﾞｰﾀそのものは平文みたいですので､少なくともｱﾌﾟﾘのﾕｰｻﾞ用のﾊﾟｽﾜｰﾄﾞを平文で送るような真似だけはしてはいけませんね｡｡｡ありがとうございました｡

▽2 ● pretaroe
●50ﾎﾟｲﾝﾄ

MYQSLなどと基本は同じで､暗号化はされていない｡

http://blog.madoro.org/mn/86
http://d.hatena.ne.jp/yamamucho/20110430/1304129571
http://support.mongohq.com/

kabisukeさんのｺﾒﾝﾄ
やはり､暗号化はされないのですか｡参照URLをみても暗号化されるのかがﾊｯｷﾘとわからなかったのですが､どこかに明記されてませんでしょうか｡

pretaroeさんのｺﾒﾝﾄ
Java 開発 2.0: ｸﾗｳﾄﾞ･ｺﾝﾋﾟｭｰﾃｨﾝｸﾞ用の Java ｱﾌﾟﾘｹｰｼｮﾝ･ﾃﾞｰﾀをｾｷｭｱにする秘密鍵を使用した暗号化によってｸﾗｳﾄﾞ･ﾃﾞｰﾀを保護するﾘｽﾄ 6. MongoDB での暗号化 http://www.ibm.com/developerworks/jp/java/library/j-javadev2-23/

kabisukeさんのｺﾒﾝﾄ
やはりｱﾌﾟﾘｹｰｼｮﾝ側での暗号化がｶｷﾞのようですね｡ Heroku + MongoHQのような組み合わせでｱﾌﾟﾘを作ることを考えてましたが､外部ｻｰﾋﾞｽを利用する以上は暗号化は多少考慮する必要がありそうです｡

▽3 ● a-kuma3
●200ﾎﾟｲﾝﾄ

ﾍﾞｽﾄｱﾝｻｰ

http://www.mongodb.org/ のｻｲﾄに記載があります｡

http://www.mongodb.org/display/DOCS/Security+and+Authentication

Security and Authentication
...
FAQ
Are passwords sent over the wire encrypted?
Yes. (Actually a nonce-based digest is passed.)
Are database operations, after authenticating, passed over the wire encrypted?
No.

kabisukeさんのｺﾒﾝﾄ
これはまさにの回答ですね！ﾛｸﾞｲﾝﾊﾟｽﾜｰﾄﾞはDigest認証で暗号化されるけど､それ以外の操作は暗号化されない､というわけですね… 少なくとも､盗聴を恐れるならｱﾌﾟﾘ側で暗号化してから送るべきという事ですね｡

a-kuma3さんのｺﾒﾝﾄ
先のお二方の回答と､そのｺﾒﾝﾄがあったので､探しやすかったです｡ Stack Overflow にも､似たような質問がありました｡ http://stackoverflow.com/questions/8803332/mongodb-database-encryption rdb 自体が暗号化の仕組みを持ってなくて､ｸﾗｲｱﾝﾄ側で暗号化するときには､ｸﾗｲｱﾝﾄﾌﾟﾛｸﾞﾗﾑの言語やﾗｲﾌﾞﾗﾘに依存するかもしれない､という悩みがあります｡逆に､rdb 自体が暗号化の仕組みを持っていると､DB のﾀﾞﾝﾌﾟだと内容が分からなくて､障害時の復旧に苦労することがある､という懸念はあるんですよね｡暗号化って､難しいです(個人の感想です)｡

kabisukeさんのｺﾒﾝﾄ
ありがとうございました｡よくわかりました｡他に暗号化してﾃﾞｰﾀを記録してしまうと検索が難しくなるという問題もありますね｡せめて､通信路だけ暗号化して保存時に平分に戻してもらえると色々問題が解決するんですけど･･･今後の拡張に期待､といったところでしょうか｡