[문의] QueryPie 데이터 마스킹 적용 컬럼의 검색 허용 및 결과 마스킹 처리 가능 여부

[TNH-minsu]

안녕하세요.

QueryPie 사용 중 데이터 마스킹 정책과 관련하여 확인 요청드립니다.

현재 마스킹이 적용된 컬럼에 대해 검색을 시도할 경우, 단순히 결과값만 필터링되는 것이 아니라 검색 자체가 제한되는 것으로 보입니다. 이와 관련하여 아래와 같은 오류 메시지를 확인했습니다.

/* SQL 오류 (1317): [ENGINE] You cannot execute the query because policies are applied to 'PatientName'. */

추가로 안내 문구로는 아래 내용도 확인했습니다.

This feature requires a reason for the selected actions performed in the Web Editor. For connections made via proxy, this requirement only applies to the "SQL Execution" condition.

검색 조건으로는 사용할 수 있도록 허용하되, 조회 결과에서는 해당 컬럼 값이 마스킹 또는 필터링되어 보이도록 설정하는 방식이 가능한지 질문드립니다.

[brendonchoi]

안녕하세요. 아래 내용 참고 부탁드립니다.

간접 참조 차단

간접참조의 경우 말씀하신 것과 같이 다음과 같은 에러메시지가 출력되어 차단이 됩니다.
"[ENGINE] [30108] You cannot execute the query because policies are applied to [column_name]"

[column_name] 부분은 정책(Data access 정책 또는 마스킹 정책)이 적용된 컬럼을 의미합니다.
패턴에 의해 마스킹이 되어 *로 가려지든 패턴에 매칭되지 않아서 노출되든 상관없이 정책이 존재하면 간접 참조는 차단됩니다.

이 상황을 완화하기 위해서 환경변수를 사용할 수 있습니다.

환경변수 적용

1. QueryPie ACP가 설치되어 있는 서버에 접속 후 설치 된 경로로 이동하여 .env 파일을 편집합니다.

cd ~/querypie/current
vi .env

파일의 제일 아래에 아래의 내용을 입력하고 저장합니다.

# Feature
FF_DISABLE_DAC_INDIRECT_POLICY=true

2. QueryPie ACP app 컨테이너(name: app-1)를 재시작 (재생성) 합니다.

docker compose --profile app up -d --force-recreate app

주의 사항

• docker compose --profile app restart 명령은 환경변수를 로딩할 수 없습니다. 반드시 컨테이너가 재생성되어야 합니다.
• FF_DISABLE_DAC_INDIRECT_POLICY=true 는 전역설정이므로 모든 DB 커넥션에 적용됩니다.
• 이 환경변수 활성화 하면 에러가 발생하지 않지만 정책이 우회되지는 않습니다.
  다만, 아래와 같은 보안 이슈가 발생될 수 있으니 충분히 검토한 뒤 적용해야합니다.
  • LIKE 패턴 공격에 의한 값 유추
  • 이분 탐색 공격에 의한 값 유추
  • JOIN 우회 공격에 의한 원본 노출 -> 심각한 보안 이슈가 발생될 수 있음.
  • ORDER BY + LIMIT 공격에 의한 값 유추
  • CASE/IF 표현식 공격에 의한 값 유추

참고 사항

컨테이너를 재시작 한 뒤 웹 콘솔에 접속하면 "Unknown Content-type received." 에러가 출력될 수 있습니다.
쿠키 때문에 발생되는 문제이므로 브라우저에 쿠키를 삭제한뒤 재접속하면 됩니다.

• 크롬 브라우저 개발자 도구에서 쿠키 삭제 방법

1. 에러가 발생한 화면에서 F12(Mac은 Cmd+Option+I) 를 눌러 개발자 도구를 로딩합니다.
2. Application 탭을 선택한뒤 왼편 트리 패널에서 Cookies 항목을 눌러 확장합니다.
3. http://<QueryPie 주소>:<포트> 항목에 마우스 오른쪽 버튼을 누르고 Clear를 선택합니다.
4. 브라우저를 새로 고침 합니다.

---

Indirect Reference Blocking

For indirect references, as mentioned, the following error message is displayed and the query is blocked:
"[ENGINE] [30108] You cannot execute the query because policies are applied to [column_name]"
The [column_name] refers to the column to which a policy (Data Access policy or Masking policy) has been applied.
Regardless of whether the data is masked with * due to a pattern match or exposed because it does not match the pattern, indirect references are blocked as long as a policy exists.
To mitigate this situation, you can use an environment variable.

Applying the Environment Variable

1. Connect to the server where QueryPie ACP is installed, navigate to the installation directory, and edit the .env file.

cd ~/querypie/current
vi .env

Add the following content at the bottom of the file and save it.

# Feature
FF_DISABLE_DAC_INDIRECT_POLICY=true

2. Restart (recreate) the QueryPie ACP app container (name: app-1).

docker compose --profile app up -d --force-recreate app

Cautions

• The command docker compose --profile app restart cannot load environment variables. The container must be recreated.
• FF_DISABLE_DAC_INDIRECT_POLICY=true is a global setting and applies to all DB connections.
• Enabling this environment variable prevents the error from occurring, but it does not bypass the policy.
  However, the following security issues may arise, so please review thoroughly before applying:
  • Value inference through LIKE pattern attacks
  • Value inference through binary search attacks
  • Original data exposure through JOIN bypass attacks -> This can cause serious security issues.
  • Value inference through ORDER BY + LIMIT attacks
  • Value inference through CASE/IF expression attacks

Notes

After restarting the container, accessing the web console may display an "Unknown Content-type received." error.
This is caused by cookies, so clearing the browser cookies and reconnecting will resolve the issue.

• How to clear cookies in Chrome Developer Tools

1. On the screen where the error occurred, press F12 (or Cmd+Option+I on Mac) to open Developer Tools.
2. Select the Application tab, then expand the Cookies item in the left-side tree panel.
3. Right-click on http://<QueryPie address>:<port> and select Clear.
4. Refresh the browser.

---

間接参照のブロック

間接参照の場合、前述のとおり、以下のエラーメッセージが表示されてブロックされます。
"[ENGINE] [30108] You cannot execute the query because policies are applied to [column_name]"
[column_name] は、ポリシー（データアクセスポリシーまたはマスキングポリシー）が適用されているカラムを指します。
パターンに一致してマスキングされ * で隠されている場合でも、パターンに一致せず値が公開されている場合でも、ポリシーが存在する限り間接参照はブロックされます。
この状況を緩和するために、環境変数を使用できます。

環境変数の適用

1. QueryPie ACPがインストールされているサーバーに接続し、インストールディレクトリに移動して .env ファイルを編集します。

cd ~/querypie/current
vi .env

ファイルの最下部に以下の内容を入力して保存します。

# Feature
FF_DISABLE_DAC_INDIRECT_POLICY=true

2. QueryPie ACPアプリコンテナ（name: app-1）を再起動（再作成）します。

docker compose --profile app up -d --force-recreate app

注意事項

• docker compose --profile app restart コマンドでは環境変数をロードできません。コンテナは必ず再作成する必要があります。
• FF_DISABLE_DAC_INDIRECT_POLICY=true はグローバル設定であり、すべてのDBコネクションに適用されます。
• この環境変数を有効にするとエラーは発生しなくなりますが、ポリシーがバイパスされるわけではありません。
  ただし、以下のようなセキュリティ上の問題が発生する可能性があるため、十分に検討した上で適用してください。
  • LIKEパターン攻撃による値の推測
  • 二分探索攻撃による値の推測
  • JOIN迂回攻撃による原本データの露出 -> 深刻なセキュリティ問題が発生する可能性があります。
  • ORDER BY + LIMIT攻撃による値の推測
  • CASE/IF式攻撃による値の推測

参考事項

コンテナを再起動した後、Webコンソールにアクセスすると「Unknown Content-type received.」というエラーが表示される場合があります。
これはCookieに起因する問題であるため、ブラウザのCookieを削除してから再接続すれば解決します。

• Chrome開発者ツールでのCookie削除方法

1. エラーが発生した画面で F12（Macの場合は Cmd+Option+I）を押して開発者ツールを開きます。
2. Application タブを選択し、左側のツリーパネルで Cookies 項目を展開します。
3. http://<QueryPieアドレス>:<ポート> の項目を右クリックし、Clear を選択します。
4. ブラウザを更新します。