Cifrado en reposo
Cifra el log, los SST y los segmentos de búsqueda en disco con AES-256.
Con --enableEncryption, TeselaDB cifra en disco todo lo que guarda: los bloques del log, los ficheros SST, los
manifiestos y los segmentos de búsqueda.
Shell
teseladb start --dbpath /var/lib/teseladb --enableEncryptionClaves
Sin --encryptionKeyFile, la clave sale de la clave maestra de la PKI del clúster (master.key). Las claves de datos
van cifradas con la clave maestra y se rotan antes de cifrar 2³² bloques. Con --encryptionKeyFile usas tu propio
fichero de clave, y con las opciones --kmipServerName, --kmipPort y --kmipKeyIdentifier, un servidor KMIP.
Algoritmo
--encryptionCipherMode | Detalle |
|---|---|
AES256-CBC (por defecto) | IV aleatorio por bloque y HMAC-SHA-256 |
AES256-GCM | Nonce aleatorio por bloque |
En MongoDB el cifrado en reposo es de la edición Enterprise; en TeselaDB viene en el mismo binario.