Belge servisi · şifreleme, erişim ve gerçek olan sınırlar
Bu sitedeki her uyum iddiası — Amerikan, Avrupa, İngiliz, Alman — sonunda tek bir düzeneği işaret eder: klinik belgeleri saklayan servis. Bu sayfa onun nasıl çalıştığını gündelik dille anlatıyor ve ardından çoğu üretici belgesinin kaçındığı bir şey yapıyor.
Şunları sıralıyor: teknik çözümü olmayan riskler. Çözdüğümüz ve anlatmak isteyeceklerimiz değil — dürüst yanıtın “bu olabilir, neden böyle seçtiğimiz şu ve sizin ne yapmanız gerektiği bu” olduğu riskler. Yalnızca bir bölüm okuyacaksanız, onu okuyun.
Her klinik belgeyi kendi asma kilidi olan bir kutuda, her asma kilidin de ayrı bir anahtarı olduğunu düşünün. O anahtarların kendisi tek bir kasada kilitli. Kutular ve küçük anahtarlar sizin veritabanınızda durur. Kasanın anahtarı durmaz.
Bütün tasarım budur. Aşağıdakilerin hepsi bunun üzerine ayrıntıdır ve mekaniğe girmeden önce sonuçları söylemeye değer:
Bütün veritabanınızı kopyalayan biri kutuları ve kilitli küçük anahtarları elde eder. Kasa anahtarı olmadan hiçbiri açılmaz. İhlal hukukundaki şifreleme istisnasını sizin için kullanılabilir kılan da budur — kasa anahtarı da alınmamışsa, verilerin anlaşılamaz olduğunu savunabilirsiniz.
Bir belgeyi imha etmek için onun küçük anahtarını yok edersiniz. Kutu, sonsuza kadar boş ve açılamaz halde kalır. Bu, bir satırı silmekten daha güçlüdür — silinen bir satır dün geceki yedekten geri gelir, yok edilen bir anahtar gelmez.
Ana kopya yok, üretici nezdinde emanet yok, kurtarma hizmeti yok. Kasa anahtarı gittiyse, elinizdeki her klinik belge de onunla gitmiştir. Bu bilinçlidirve bölüm 05, buna getirilecek herhangi bir “çözüm”ün sorundan neden daha kötü olacağını anlatıyor.
Tekniğin adı zarf şifrelemesive bankalarla bulut sağlayıcıları aynı sorun için bunu kullanır. Üç katman var. Neden bir değil de üç olduğu üçüncü sütunda.
| Katman | Nedir | Neden ayrıdır |
|---|---|---|
| Belge sürümü | Asıl dosya — bir seans raporu, bir olay kaydı, bir kimlik belgesi — şununla şifrelenir: AES-256-GCM. Şifreli sonuç, diskte kendi dizinine, Odoo’nun olağan dosya deposunun dışına yazılır ve hiçbir zaman normal indirme yolundan sunulmaz. | Şifreli metni olağan dosya alanının dışında tutmak, yanlış yapılandırılmış bir web sunucusunun klinik dosyaları kazara yayımlayamaması demektir, çünkü dosyalar bir web sunucusunun bakacağı yerde değildir. |
| Veri anahtarı (DEK) | Yepyeni, rastgele 256 bitlik bir anahtar; her belgenin her sürümü içinüretilir. Hasta başına değil, belge başına değil — sürüm başına. Veritabanında saklanır, ama yalnızca sarılmış halde. | Sürüm başına tek anahtar, imhayı kesin kılan şeydir. Bir sürümün anahtarını yok etmek tam olarak o sürümü imha eder, başka hiçbir şeyi etkilemez; böylece bir düzeltme saklanırken aslı imha edilebilir ya da tersi. |
| Kurulum anahtarı (KEK) | Bütün kurulum için tek bir 256 bitlik anahtar; sunucuda bir dosyada durur ve her veri anahtarını sarar. Hiçbir zaman veritabanında saklanmaz ve sunucudan hiç çıkmaz. | İşi yapan ayrım budur. Veritabanı ve anahtarlar, farklı yerlerde, farklı yedeklerle duran farklı şeylerdir; birini elde etmek diğerini vermez. |
Her belge sürümü için altı şey vardır. Bilerek farklı yerlerde tutulurlar, çünkü bütün tasarım hiçbir yerin bunlardan ikisini birden tutmamasına dayanır.
| Parça | Nerede tutulur | Yalnızca bunu elde etmek ne kazandırır |
|---|---|---|
| Dosyanın kendisi, şifreli | Sunucuda kendi dizininde, şu düzende:
<store>/<first 2 of uuid>/<next 2>/<uuid>.enc.v<version>. Dizinler yalnızca sahibine açık, dosyalar sahibi için okunur/yazılır. Odoo’nun dosya deposunun dışındadır, dolayısıyla /web/content üzerinden erişilemez ve ek dosya çöp toplamasından etkilenmez. |
Hiçbir şey. Anahtarsız, kimliği doğrulanmış şifreli metin. Sürüm başına tek dosya olduğu için yeni bir sürüm dosyalamak bir öncekinin üzerine yazamaz. |
| Nonce ve iki özet | Veritabanında, sürüm satırında: bu şifreleme için kullanılan nonce, düz metnin özeti ve şifreli metnin özeti. | Tek başına hiçbir şey — ama aşağıdaki bağlamayı yeniden kurmak için düz metin özeti gerekir; onu kaybetmek şifreli metni çözülemez kılar. Bu bir gözden kaçma değil, tasarım gereğidir. |
| Veri anahtarı, sarılmış halde | Veritabanında, kurulum anahtarıyla şifrelenmiş olarak. Sarılmamış hali yalnızca bellekte, tek bir okuma boyunca vardır ve hemen ardından atılır. | Kurulum anahtarı olmadan hiçbir şey. Çalınmış bir veritabanı size sarılmış anahtarlar ve şifreli metin yolları verir; ikisi de hiçbir şeyi açmaz. |
| Kurulum anahtarı | Sunucuda bir dosya; yalnızca Odoo’nun çalıştığı hesap okuyabilir. Asla veritabanında. Asla dosya deposunda. Asla bildirilmiş bir yedek kökünün içinde — bunların her biri açılışta denetlenir ve uyarı değil, ölümcül hatadır. | Veritabanı olmadan hiçbir şey— sarılmış veri anahtarları orada durur — ve şifreli metin deposu olmadan da hiçbir şey. Üç ayrı şey gerekir ve bunlar üç ayrı yerde tutulur. |
| Erişim kuralları | Veritabanında, kayıt olarak — kim neyi, hangi dayanakla ve ne zamana kadar açabilir. | Bir meslektaşın neyi açabileceğine karar verirler. Dosyalara sahip olup anahtarlara sahip olmayan birine hiçbir etkileri yoktur; şifrelemenin var olma nedeni de o durumdur. |
| Erişim günlüğü | Veritabanında, yalnızca eklenen ve özetle zincirlenen biçimde. Yalnızca her değişiklik değil, her okumakaydedilir. | Kimin neyi açtığının kaydı. İçerik teslim edilmeden önce yazılır, dolayısıyla birinin iptal ettiği bir indirme bile erişim olarak kayda geçer. |
Yukarıdakilerin hepsini bunlara bakarak doğrulamak daha kolay. Birincisi bir belge dosyalandığında, ikincisi biri bir belgeyi görmek istediğinde ne olduğudur. İkincisini dikkatle okuyun — çoğu sistemin iddia ettiğinden zayıf olduğu yer orasıdır.
Bir seans raporu, bir olay kaydı, bir kimlik belgesi. Belleğe gelir.
İşletim sisteminin kriptografik rastgelelik kaynağından 32 bayt. Bir paroladan türetilmez, başka bir belgeden yeniden kullanılmaz, bu belgenin önceki sürümünden de yeniden kullanılmaz.
sürüm başına bir anahtar — imhayı kesin kılan budurDüz metnin SHA-256 özeti ve bir kez kullanılan 96 bitlik bir sayı. Şifreleme çekirdeğindeki hiçbir işlev çağıranından nonce kabul etmez; dolayısıyla klasik yeniden kullanım hatası burada yapılamaz.
AES-256-GCM; ek kimlik doğrulama verisi olarak uuid | sürüm numarası | içerik parmak izi kullanılır. Bu bağlama zorunludur. Sonradan başka bir belgeye ya da başka bir sürüme kopyalanan bir şifreli metin, yanlış kişinin erişim kuralları altında sessizce açılmak yerine çözülmeyi reddeder.
Kurulum anahtarıyla şifrelenir, anahtar kuşağı ve anahtar ad alanıyla etiketlenir ve veritabanında bu biçimde saklanır. Sarılmamış anahtar bellekten hemen atılır.
Hedef dizinde geçici bir dosyaya yazılır, fiziksel diske geçirilir ve ardından yerine taşınır — böylece yazım ortasında bir çöküş yarım bir sürüm bırakamaz. Geçici dosya şifreli metin tutar, asla düz metin değil.
Depolama yolu, nonce, iki özet, boyut ve sarılmış anahtar. Asla düz metin, asla sarılmamış bir anahtar, asla kurulum anahtarı.
Kimin dosyaladığı, ne zaman, ne büyüklükte ve hangi türde. Yalnızca eklenen ve kendinden öncekilere zincirlenen biçimde.
Arka ofisteki bir klinisyen ya da kendi kayıtları sayfasındaki bir danışan. İkisi de aynı denetimlerden geçer; hiçbiri diğerininkini atlamaz.
Danışana dönük yolda, yalnızca parolası olan bir hesaba kayıtlar gösterilmez. Ret, belge yokmuş gibi davranmak yerine ne yapılması gerektiğini söyler.
Danışana dönük yolda kişi başına bir hız sınırı. Açıkça söylenir, çünkü söylemek hiçbir şey sızdırmaz ve bir destek aramasından kurtarır.
Önce ret kuralları — bir tanesi bile kesindir. Sonra izin kuralları: hiçbiri uymuyorsa yanıt hayırdır. Acil erişime ancak o noktada bakılır; böylece hiç verilmemiş olana ulaşabilir ama bir reddi bozamaz. Hassasiyet etiketleri en son uygulanır ve yalnızca erişimi geri alabilir.
varsayılan olarak kapalı · bu denetimde süper kullanıcı dalı yokturKayıt önce yazılır, böylece birinin yarıda kestiği bir aktarım bile erişim olarak kayıtta durur. Günlük yalnızca eklenir ve özetle zincirlenmiştir; kayıtlar sonradan sessizce çıkarılamaz, ne bizim ne de kendi yöneticinizin eliyle.
Herhangi bir anahtara dokunulmadan önce. Böylece depodaki bozulma, sonradan kafa karıştırıcı bir kimlik doğrulama hatası olarak değil, bozulma olarak bildirilir.
Bu sürümün veri anahtarını açmak için kullanılır; bu sırada anahtar kuşağı ve ad alanı denetlenir. Bir ad alanı için sarılmış bir anahtar, başka bir ad alanı olarak açılamaz — her iki kurulum anahtarını birden elinde tutan biri tarafından bile.
Belge tanımlayıcısı, sürüm numarası ve içerik parmak izi yeniden kurulur ve uyuşmak zorundadır. Kurcalama, yanlış anahtar ve başka bir kayıttan taşınmış bir şifreli metin burada başarısız olur — ve hepsi aynı biçimdebaşarısız olur, çünkü bir saldırgana hangi parçanın tutmadığını söylemek bedava bilgi vermektir.
Veri anahtarı bellekten düşürülür. Bu üründe hiçbir kod yolu diske çözülmüş bir bayt yazmaz — önizleme için değil, küçük resim için değil, arama dizini için değil.
İmha edilmiş bir sürüm, anahtarının artık var olmadığını bildirir. Yedek bir yol, önbellekte bir kopya ve bir kurtarma rotası yoktur; imhayı böyle yapmanın anlamı da budur.
Tek bir anahtar kurulumdaki bütün veri anahtarlarını korur; dolayısıyla onun ele alınışı satır satır denetlenmeye değer kısımdır. Aşağıdaki denetimlerin hepsi açılışta çalışır ve hepsi ölümcüldür — sunucu, sahip olduğunuzu sandığınız ama sahip olmadığınız bir korumayla çalışmaktansa hiç başlamaz.
İşletim sisteminin rastgelelik kaynağından 32 bayt, tek bir adımda yalnızca sahibinin okuyabileceği izinle oluşturulan bir dosyaya yazılır; böylece kısa bir an bile başkası tarafından okunabilir olmaz.
Dosya ya 32 ham bayt ya da 64 onaltılık karakter içermelidir. Başka hiçbir şey kabul edilmez — bir parola, anahtara genişletilmek yerine reddedilir, çünkü genişletilmiş bir parola, daha güçlü görünen daha zayıf bir anahtardır.
Veritabanında değil. Odoo’nun veri dizininde, eklenti yolunda ya da dosya deposunda değil. Şifreli metin deposunun içinde değil. Yedek kökü olarak bildirdiğiniz hiçbir dizinin içinde değil.
İnsanların yanıldığı sonuncusudur. Hem veritabanını hem anahtarı tutan bir yedek, ele geçmiş bir anahtar demektir ve kurulumu Amerikan ihlal güvenli limanının ve Avrupa’daki Md. 34(3)(a) istisnasının dışına çıkarır — ki şifrelemenin burada olmasının bütün nedeni odur.
Kurulum anahtarını değiştirmek veri anahtarlarını yeniden sarar ve şifreli metnin tek bir baytını bile yeniden yazmaz. Yüz bin belge, yüz bin dosyanın yeniden yazılabileceği hızda değil, yüz anahtarın yeniden şifrelenebileceği hızda değişir.
Kuşak numarası sarmanın içindedir; dolayısıyla eski kuşakla sarılmış bir anahtar, yeniymiş gibi sessizce açılamaz.
Bir sürümü imha etmek, sarılmış anahtarını rastgele baytlarla üzerine yazar , alanı boşaltmak yerine; böylece veritabanı sayfasından bile kurtarılacak bir şey kalmaz.
Sürümün üst veri kabuğu ve bütün erişim günlüğü kalır — belgeyi elinizde tuttuğunuzu ve doğru biçimde imha ettiğinizi hâlâ kanıtlayabilirsiniz. Anahtarı hâlâ varken bir sürüm silinemez, dolayısıyla sıra asla ters olamaz.
Şifrelemenin genellikle neredeyse doğru uygulandığı yerler bunlardır ve farkın tamamı o “neredeyse”dedir.
Bir sürüm şifrelenirken şifreleme; o belgenin tanımlayıcısına, sürüm numarasına ve içeriğinin parmak izine bağlanır. Kriptograflar buna ek kimlik doğrulama verisider ve burada zorunludur — hiçbir çağıran onu atlayamaz.
Sonuç: başka bir belgeye ya da başka bir sürüme kopyalanan bir şifreli metin çözülmeyi reddeder. Yanlış hastanın erişim kuralları altında sessizce açılmaz — ki bu bağlama olmayan bir sistemin tam da açık olduğu saldırıdır.
Aynı anahtarla aynı nonce iki kez kullanılırsa AES-GCM felaket derecede zayıflar: böyle iki şifreli metni gören bir saldırgan ikisinden de bilgi çıkarabilir. Klasik uygulama hatası budur.
Burada her şifreleme kendi nonce’unu üretir ve hiçbir işlev çağıranından nonce kabul etmez. Hatayı yapmak zorlaştırılmamış; imkânsız kılınmıştır.
Şifreleme çekirdeği, uygulama çatısına hiç bağımlı olmayan bağımsız bir parça olarak yazılmıştır; böylece şifreleme iddiasını denetleyen biri bir klinik sistemi çalıştırmadan onu tek başına okuyup sınayabilir.
Güvenlik ekibiniz bu sayfadaki iddialara inanmak yerine doğrulamak isterse, onlara verilecek dosya odur ve kısa bir dosyadır.
Hukukun, bir terapistin kendi süreç notlarını klinik kayıttan ayırdığı yerde — en açık örnek Amerikan psikoterapi notu ayrıcalığıdır — o notlar ikinci, farklı bir kurulum anahtarıylaşifrelenir. Olağan kaydı açan anahtar onları açmaz.
Bu önemlidir, çünkü ayrımı erişim kurallarının değil depolamanın bir özelliği haline getirir. Yarın sistemdeki her izin yanlış olsa bile, olağan anahtar yine o notları çözmezdi. Bu aynı zamanda ikinci anahtarın devreye almadan önce yapılandırılması gerektiği anlamına gelir: onsuz böyle bir notu dosyalamak, başarısız olur — sessizce ana anahtara dönmez, çünkü sessiz bir geri dönüş, kimse fark etmeden ayrımı yok ederdi.
İkisi sık sık birbirine karıştırılır. Şifreleme, sistemde hiç bulunmaması gereken birine karşı korur. Çok daha yaygın olan soruna hiçbir şey yapmaz: sistemde bulunan ve okumaya hiç işi olmayan bir kayda bakan biri.
Yetkilendirme katmanı bunun içindir ve çoğu sistemden farklı bir ilkeyle çalışır: erişim, görev unvanını değil bakım ilişkisini izler.
Her seferinde. Girişte bir kez değil.
Açıkça yazılıyor, çünkü denetçiler soruyor
Bir klinisyenin bazen gerçekten hiçbir ilişkisi olmayan bir kayda ihtiyacı olur — bir kriz, mesai dışı bir çağrı, hastalanan bir meslektaş. Kuruluşunuz izin veriyorsa acil erişim kullanılabilir. Kullanılması, sonradan gözden geçirilen kayıtlı bir oturum açar.
Yalnızca reddeden bir sistem kendi açısından güvensizdir ve Birleşik Krallık’ta açıkça uyumsuzdur: Caldicott 7. İlke, paylaşma ödevini koruma ödevi kadar önemli kılar. Dolayısıyla erişim vardır ve kullanımı asla sessiz değildir.
Bir belge türüne karşı — kuralları, saklama süresini ve kimin açabileceğini belirleyen o türdür.
Açık sözcüklerle, kaydedilmeden önce Önce. Yanlış dosyalamanın çoğu, bir belgenin nereye düşeceğini kimsenin bilmemesinden olur.
Bu belgeye, bu sürüme ve bu içeriğin parmak izine bağlanarak.
Sarılmamış anahtar yalnızca bellekte, gerektiği an boyunca vardır.
Kendi izinleriyle, kendi dizininde.
Her açılış, içerik görünmeden önce günlüğe yazılır.
Kendi yeni anahtarıyla, bir yeni sürümolarak. Aslına dokunulmaz ve hâlâ okunabilir — değiştirilebilir bir kayıt, kanıt olarak değersizdir.
Çözülmeyi reddeder, çünkü şifreleme asıl belgenin kimliğine bağlıdır.
İlişkinin bitişinden — dosyanın oluşturulduğu günden değil.
Anahtar malzemesi rastgele baytlarla üzerine yazılır, sonra anahtar satırı silinir. Önce üzerine yazmak bilinçlidir: işlem yarıda kesilirse hata durumu, olmaması gerekirken hayatta kalan bir belge değil, okunamayan bir belgedir.
Kaydın var olduğunu, yirmi yıl boyunca kimin gördüğünü ve zamanında imha edildiğini hâlâ kanıtlayabilirsiniz. İçerik, biz dahil hiç kimse tarafından, kalıcı olarak okunamaz.
Yukarıdaki her şey sistemin iyi yaptıklarıydı. Bu bölüm tersidir: kötü bir şeyin olabileceği ve hiçbir mühendisliğin kapatamadığı yerler — çünkü kapatmak, kazandırdığından fazla koruma götürür.
Her biri gerçekte ne olduğunu, bizim ne yaptığımızı ve sizde neyin kaldığını söylüyor. Bir tedarikçi size şifrelemelerinde bunların hiçbirinin olmadığını söylüyorsa, ya bunu hiç düşünmemiştir ya da sizin düşünmemenizi umuyordur.
Ne olur: anahtar dosyası silinir, disk bozulur, sunucu onsuz yeniden kurulur ya da nerede olduğunu bilen tek kişi ayrılır. Sistemdeki her klinik belge kalıcı olarak okunamaz hale gelir. Kurtarması zor değil — imkânsız. Veritabanı sapasağlam ve işe yaramaz.
Neden düzeltmiyoruz: tek çözümler, üreticinin tuttuğu bir kopya ya da bir kurtarma arka kapısıdır. İkisi de bütün tasarımın var olma nedeni olan özelliği yok eder. Bir kopyayı biz tutsaydık, “çalınmış bir veritabanı ihlal değildir” doğru olmaktan çıkardı ve bu sayfada neleri göremediğimize dair her söz yalan olurdu. Kurtarılabilir bir anahtar, başkasının da kullanabileceği bir anahtardır.
Ne yapıyoruz: anahtar eksikse sistem başlamayı reddeder; sessizce çalışıp sorunu bir belge açılmadığında keşfetmenize bırakmaz. Açılış denetimi, anahtar dosyası sahibinden başkasınca okunabiliyorsa ya da yanlış hesaba aitse de reddeder.
Sizde ne kalıyor: anahtarı verilerden ayrı olarak yedekleyin ve geri yükleyebildiğinizi sınayın. Nerede olduğunu iki kişi bilmeli. Bu, bütün platformdaki sonucu en ağır tek işletme ödevidir ve doğru yapmak on dakika sürer.
Ne olur: bir yönetici anahtar dosyasını bir meslektaşına e-postayla gönderir, bir destek kaydına yapıştırır, bir dizüstüne kopyalar ya da ayrılan bir mühendis bir kopyayı alıkoyar. Hem o dosyayı hem de veritabanının bir kopyasını birlikte elinde tutan herkes, her belgeyi çevrimdışı, hiçbir giriş yapmadan çözebilir ve erişim günlüğünüze hiçbir şey yazılmaz — çünkü günlük, uygulama üzerinden yapılan okumaları kaydeder ve bu yol uygulamayı tamamen atlar.
Neden düzeltmiyoruz: anahtarın, onu kullanan yazılım tarafından okunabilmesi gerekir. Onu okuyabilen her süreç kopyalayabilir de. Donanımsal güvenlik modülleri bu sorunu çözmez, yerini değiştirir — yazılımın hâlâ modülden anahtarları açmasını isteyebilmesi gerekir, dolayısıyla o yazılımın yetkilerine sahip bir saldırgan yine düz metni elde eder.
Ne yapıyoruz: dosya izinleri açılışta uygulanır, dolayısıyla herkesin okuyabildiği bir anahtar fark edilmeden geçmek yerine sistemi durdurur. Ve kendi sunucunuzda barındırdığınız için dosya hiçbir zaman bizde olmaz — onu kopyalayabilecek kişiler kümesi sizin personelinizdir, sizin personeliniz artı bizimki değil.
Sizde ne kalıyor: anahtarı denetim altındaki fiziksel bir nesne gibi görün. Sunucuya kimlerin giriş yapabileceğini kısıtlayın, ortak bir hesap yerine bireysel yönetici hesapları kullanın ve sunucuya erişimi olan biri ayrıldığında anahtarı değiştirin — bölüm 06 değişimin neden ucuz olduğunu anlatıyor.
Ne olur: en sessiz ve en yaygın hata. Biri bütün sunucuyu süpüren bir yedekleme kurar ve anahtar dosyası veritabanıyla aynı arşivin içinde kalır. Artık çalınan tek bir yedek her iki yarıyı da içerir, şifreleme hiçbir şeyi korumaz ve — daha kötüsü — bir ihlal raporunda şifreleme istisnasını ileri sürüyor olurdunuz, çünkü kâğıt üzerinde her şey şifreliydi.
Neden zor: çalışan sistemde hiçbir şey farklı görünmez. Kusursuz çalışır. Sorun yalnızca yedekte vardır ve yalnızca yedeğin çalındığı gün önem kazanır.
Ne yapıyoruz: bu listede kısmen karşı önlem aldığımız tek madde budur. Yedek dizinlerinizi yapılandırmada bildirirsiniz ve anahtar dosyası bunlardan birinin içindeyse sistem başlamayı reddeder. Hiç yedek yolu bildirmezseniz, istisnanın doğrulanamayacağı uyarısını verir — çünkü denetlenmemiş bir iddia tehlikeli olanıdır.
Sizde ne kalıyor: yedek köklerini dürüstçe bildirin ve yedekleme aracınızın gerçekte neleri içerdiğini, içerdiğini sandığınızı değil, denetleyin.
Ne olur: bir terapist, aynı zamanda komşusu olan bir danışanın dosyasını açar. Bir resepsiyon görevlisi yerel bir ünlüyü arar. Her kural sağlanmıştır — kişinin geçerli bir bakım ilişkisi ya da geçerli bir dayanağı vardır ve bunu yalnızca kötüye kullanmıştır. Şifreleme burada konu dışıdır. Erişim denetimi de öyle, çünkü erişim verilmişti.
Neden hiçbir sistem düzeltemez: yazılım niyeti okuyamaz. Okumaya çalışan bir sistem — bir ad yerel göründüğü için erişimi engelleyen — acil bir durumda gerçek klinik işi engellerdi; bu da kendi başına bir zarar ve Birleşik Krallık’ta kendi başına bir uyumsuzluktur.
Ne yapıyoruz: imkânsız kılmak yerine görünür kılıyoruz. Her açılış, içerik görünmeden önce, kimsenin düzenleyemediği bir günlüğe kaydedilir — yöneticileriniz dahil, biz dahil. Bakım ilişkileri biter ve kısa bir tolerans süresinden sonra erişim de onlarla biter; böylece pencere dardır. Acil erişim, sessiz bir yetenek değil, ayrı, bilinçli ve gözden geçirilen bir eylemdir.
Sizde ne kalıyor: birinin günlüğü gerçekten okuma okuması gerekir. Yönetişim modülü bu gözden geçirmeye bir ev verir — sıklık, adı belli bir gözden geçiren, bulgu izi — ama kimsenin bakmadığı bir günlük kimseyi caydırmaz. Kâğıt üzerinde en sık var olan ve hiç gerçekleşmeyen denetim budur.
Ne olur: bir belgeyi yetkili bir klinisyene gösterebilmek için yazılımın onu çözmesi gerekir. O an için sunucunun belleğinde okunabilir metin olarak bulunur. İşletim sistemine tam hâkim biri, ilkesel olarak onu orada okuyabilir — ya da yazılımı kopya tutacak biçimde değiştirebilir.
Neden hiçbir sistem düzeltemez: bu, birine bir şey gösteren her sistem için doğrudur. Makine belgeyi gösterebiliyorsa, makinenin sahibi belgeyi elde edebilir. Şifreleme, veriyi duruyorken ve yolculukta korur; onu hukuka uygun biçimde işleyen bilgisayardan koruyamaz.
Ne yapıyoruz: pencereyi daraltıyoruz — çözme, okuma anı boyunca bellekte olur ve düz metin asla diske yazılmaz. Ve kendi sunucunuzda barındırmak demek, root yetkisine sahip tarafın siz olmanız demektir, biz değil.
Sizde ne kalıyor: sunucu yönetimi elinizdeki en yüksek yetkili roldur. Az sayıda, adı belli kişi; parola değil anahtar; ve erişimin kimde olduğunun kaydı. Bu, klinik hesapların yanında işe giriş-çıkış kontrol listesine aittir.
Ne olur: bir saklama kuralı yanlış yapılandırılır ya da imha yanlış seçim üzerinde çalıştırılır. Anahtarların üzerine yazılır ve belgeler okunamaz hale gelir. Geri alma yoktur ve dün geceki yedeği geri yüklemek işe yaramaz — yedek aynı şifreli metni içerir ve onun anahtarı gitmiştir.
Neden düzeltmiyoruz: geri alınabilir bir imha, imha değildir. Anahtar imhasının bir düzenleyici nezdindeki bütün değeri, geri alınamamasıdır. Yok edilen anahtarlar için bir “geri dönüşüm kutusu”, verilerin aslında hiç yok edilmediği anlamına gelir ve verdiğiniz her silme beyanı yalan olurdu.
Ne yapıyoruz: anahtarlar hiçbir olağan yoldan silinemez — silme işlemi düpedüz engellenmiştir ve imha yalnızca, ilerledikçe denetim kaydı yazan imha yolundan olur. Yasal saklama kararları imhayı tamamen askıya alır. Saklama, dosya yaşından değil saklanan başlangıç tarihlerinden sayılır; böylece yanlış tarihli imhanın en yaygın nedeni ortaya çıkmaz.
Sizde ne kalıyor: saklama yapılandırmasını ilk imha çalışmasından sonra değil, devreye almadan önce denetleyin. Ve zamanlanmış işlerin gerçekten çalıştığını doğrulayın — sessizce duran bir saklama işi başka bir sorundur, ama aynı biçimde, yani çok geç keşfedilir.
Ne olur: ruh sağlığı kayıtları yirmi yıl, kimi zaman daha uzun saklanır. AES-256 bugün kırılabilir sayılmıyor — insanların üzerine spekülasyon yaptığı kuantum bilgisayarlarla da — ama dürüst hiçbir mühendis 2046 hakkında yüzü kızarmadan söz veremez.
Neden kimse düzeltemez: henüz gerçekleşmemiş matematiksel bir sonuca karşı koruma satın alamazsınız. Klinik kayıtlar için “kuantum-dayanıklı” depolama satan biri, bir hikâye satıyordur.
Ne yapıyoruz: algoritmayı ve anahtarları, verilerinize dokunmadan değiştirilebilir kılıyoruz. Anahtar değişimi her veri anahtarını yeni bir kurulum anahtarıyla yeniden sarar, şifreli metnin tek bir baytını bile yeniden yazmadan, dolayısıyla bir göç projesi değil bir arka plan işidir. Kriptografi, tam da zamanı geldiğinde değiştirilebilsin diye tek bir küçük ve denetlenebilir bileşende yalıtılmıştır.
Sizde ne kalıyor: hiç değiştirmemek yerine düzenli olarak değiştirin ve yirmi yıllık bir kaydın ömründe bir kez yeniden şifreleme bekleyin. Bunu bir kriz olarak değil, bakım olarak planlayın.
Yedisinin ortak yanına bakın. Her durumda riski kapatacak olan “çözüm” — kurtarılabilir bir anahtar, geri alınabilir bir imha, niyeti okuyan bir sistem, kendi yöneticilerinize karşı koruma — koruduğundan daha değerli bir şeyi yok ederdi. Tasarım kararı, bu risklerin gözden kaçmış olması değildir. Onları kapatmanın, geri kalan güvenceleri yalan kılacak olmasıdır.
Size kalan kısım küçük, somut ve çoğunlukla usule ilişkindir: anahtarı ayrı yedekleyin, sunucuya kimin ulaşabileceğini denetleyin, yedek yollarınızı bildirin, erişim günlüğünü okuyun ve saklama ayarlarını bir kez kontrol edin. Bu liste tek sayfaya sığar ve hepsi bu kadardır.
1. ve 2. riskler bu sayfadaki sonucu en ağır iki madde olduğuna göre, hangi parçaların otomatik hangilerinin sizin olduğu konusunda kesin konuşmaya değer.
| Denetim | Durum | Ne olur |
|---|---|---|
| Anahtar var | ✓ | Açılışta doğrulanır. Eksik bir anahtar, sistemin çalışıp bir hastanın önünde birer birer belge hatası vermesi yerine sistemi durdurur. |
| Yalnızca sahibi okuyabiliyor | ✓ | Gruba ya da herkese açık bir anahtar, kimsenin okumadığı bir günlükteki uyarı değil, açılışta ölümcül hatadır. |
| Doğru hesaba ait | ✓ | Servisin çalıştığı hesaba karşı denetlenir. Ayrılmış bir mühendisin hesabına ait bir anahtar bir bulgudur. |
| Bir yedek dizinin içinde değil | ✓ | Yedek köklerinizi siz bildirirsiniz; anahtar birinin içindeyse sistem başlamayı reddeder. Hiç bildirmezseniz, ihlal istisnasının doğrulanamayacağı uyarısını verir. |
| Verilerle birlikte yolculuk edeceği bir yerde değil | ✓ | Anahtarın asla bulunmaması gereken kısa bir dizin listesi düpedüz reddedilir. |
| Gerçek bir anahtar | ✓ | Yalnızca 32 ham bayt ya da 64 onaltılık karakter olarak kabul edilir. Kırpılmış ya da bozulmuş bir dosya, kimsenin bir daha açamayacağı belgeler üretmek için kullanılmak yerine reddedilir. |
| Ayrı olarak yedeklenmiş | — | Sizin işiniz ve yazılım yardım edemez. Görmemize izin verilmeyen bir yedeği doğrulayamayız ve kendi anahtar yedeğini denetleyebilen bir sistem, ona ulaşabilen bir sistem olurdu. İki kişi, iki yer, sınanmış geri yükleme. |
| Sunucuya kim ulaşabilir | — | Sizin işiniz. Root yetkisi olan herkes anahtarı okuyabilir. O liste kısa, adı belli ve insanlar ayrıldıkça gözden geçirilmiş olmalı. |
| Biri ayrıldığında anahtar değişimi | ⚙ | Destekleniyor ve ucuz: değişim, hiçbir şifreli metni yeniden yazmadan her veri anahtarını yeni bir kurulum anahtarıyla yeniden sarar ve eski anahtarlar, hâlâ yolda olan bir şeyi açmak için saklanabilir. Ne zaman değiştireceğinize siz karar verirsiniz. Bir sunucu yöneticisi ayrıldıktan sonra bariz andır ve en sık kaçırılan andır. |
Her klinik belgenin her sürümü kendi anahtarıyla ve o belgenin kimliğine bağlanarak şifrelenir; böylece başka bir yere taşınamaz. Bu anahtarlar, veritabanının dışında duran ve sunucunuzdan hiç çıkmayan tek bir kurulum anahtarıyla sarılır — dolayısıyla çalınmış bir veritabanı bir açıklama değildir ve imha, bir satırı silerek değil bir anahtarı yok ederek yapılır. Belgeler yalnızca yürürlükte bir tedavi ilişkisi olan kişilere açılır ve her açılış önce zincirlenmiş bir günlüğe yazılır; böylece erişim meşruyken bile kötüye kullanım görünür olur. Mühendislikle düzeltilemeyecek olan bölüm 05’te adlandırılıyor ve sizin tarafınızın kısa hali şu: anahtarı ayrı yedekleyin, sunucu erişimini kısa ve adı belli tutun, yedek yollarınızı bildirin, günlüğü okuyun ve devreye almadan önce saklama ayarlarını bir kez kontrol edin.
Her ülke sayfası burada anlatılan düzeneğe dayanır ve kendi hukukunun gerektirdiği hak ve yönetişim düzeneğini ekler.
