Ma'lumot xavfsizligi

# Diskni shifrlash - LUKS
sudo cryptsetup luksFormat /dev/sdb1
sudo cryptsetup open /dev/sdb1 malumot
sudo mkfs.ext4 /dev/mapper/malumot

-- MySQL da jadval darajasida shifrlash
CREATE TABLE maxfiy_malumot (
    id INT PRIMARY KEY,
    mazmun TEXT
) ENGINE=InnoDB ENCRYPTION='Y';

final class ShifrlanganMaydon
{
    public function __construct(
        private Shifrlovchi $shifrlovchi,
    ) {}

    public function saqlash(string $qiymat): array
    {
        return [
            // Qidiruv uchun - deterministik xesh
            'xesh'  => hash_hmac('sha256', mb_strtolower($qiymat), $this->qidiruvKaliti),
            // Ko'rsatish uchun - shifrlangan
            'shifr' => $this->shifrlovchi->shifrlang($qiymat),
        ];
    }

    public function oqish(string $shifr): string
    {
        return $this->shifrlovchi->ochiring($shifr);
    }

    public function qidiruvXeshi(string $qiymat): string
    {
        return hash_hmac('sha256', mb_strtolower($qiymat), $this->qidiruvKaliti);
    }
}

CREATE TABLE mijozlar (
    id           BIGINT UNSIGNED AUTO_INCREMENT PRIMARY KEY,
    ism          VARCHAR(80) NOT NULL,
    email_xesh   CHAR(64) NOT NULL,              -- qidiruv uchun
    email_shifr  VARBINARY(512) NOT NULL,        -- ko'rsatish uchun
    telefon_xesh CHAR(64) NULL,
    telefon_shifr VARBINARY(512) NULL,

    UNIQUE KEY uq_email (email_xesh),
    KEY idx_telefon (telefon_xesh)
) ENGINE=InnoDB;

// Qidiruv
$stmt = $pdo->prepare('SELECT * FROM mijozlar WHERE email_xesh = ?');
$stmt->execute([$maydon->qidiruvXeshi($email)]);

$qator = $stmt->fetch();
$email = $maydon->oqish($qator['email_shifr']);

final class Maskalovchi
{
    public function email(string $email): string
    {
        [$nom, $domen] = explode('@', $email, 2);

        $korinadigan = min(2, mb_strlen($nom));

        return mb_substr($nom, 0, $korinadigan)
             . str_repeat('*', max(3, mb_strlen($nom) - $korinadigan))
             . '@' . $domen;
    }

    public function telefon(string $telefon): string
    {
        $raqamlar = preg_replace('/\D/', '', $telefon);

        return '+998 ** *** ** ' . mb_substr($raqamlar, -2);
    }

    public function karta(string $raqam): string
    {
        return '**** **** **** ' . mb_substr($raqam, -4);
    }

    public function ism(string $ism, string $familiya): string
    {
        return $ism . ' ' . mb_substr($familiya, 0, 1) . '.';
    }
}

echo $maskalovchi->email('[email protected]');
echo $maskalovchi->telefon('+998901234567');

-- Ishlab chiqarish nusxasini sinov uchun tayyorlash
UPDATE mijozlar SET
    ism           = CONCAT('Sinov', id),
    familiya      = CONCAT('Familiya', id),
    email         = CONCAT('sinov', id, '@example.test'),
    telefon       = CONCAT('+99890', LPAD(id, 7, '0')),
    manzil        = 'Sinov manzili',
    tugilgan_sana = '2000-01-01',
    parol_xesh    = '$2y$12$sinovParoliUchunXesh...';

UPDATE buyurtmalar SET izoh = NULL WHERE izoh IS NOT NULL;

DELETE FROM tolov_malumotlari;
DELETE FROM audit_jurnali;

// Sinov muhitida tashqi xizmatlarni to'sish
final class XavfsizPochtaYuboruvchi implements PochtaInterfeysi
{
    public function yuboring(string $qabuluvchi, Xat $xat): void
    {
        if ($this->muhit !== 'production') {
            $this->jurnal->info('Xat yuborilmadi (sinov muhiti)', [
                'qabuluvchi' => $qabuluvchi,
                'mavzu'      => $xat->mavzu(),
            ]);

            // Barcha xatlarni bitta test manziliga
            $qabuluvchi = $this->sinovManzili;
        }

        $this->haqiqiyYuboruvchi->yuboring($qabuluvchi, $xat);
    }
}

// Karta ma'lumotini saqlamaslik
final class TolovServisi
{
    public function tolang(TolovSorovi $sorov): Tolov
    {
        // Karta ma'lumoti to'g'ridan-to'g'ri provayderga
        // Bizning serverimizdan o'tmaydi
        $natija = $this->provayder->tolang([
            'token'   => $sorov->kartaTokeni,   // provayderdan olingan
            'summa'   => $sorov->summa->tiyin,
            'buyurtma' => $sorov->buyurtmaId,
        ]);

        // Faqat oxirgi 4 raqam va tur saqlanadi
        return $this->repozitoriy->saqlang(new Tolov(
            buyurtmaId: $sorov->buyurtmaId,
            oxirgi4:    $natija->oxirgi4,
            kartaTuri:  $natija->kartaTuri,
            tranzaksiyaId: $natija->id,
        ));
    }
}

-- Muddati o'tgan ma'lumotni o'chirish
DELETE FROM sessiyalar WHERE oxirgi_faollik < DATE_SUB(NOW(), INTERVAL 30 DAY);
DELETE FROM parol_tiklash_tokenlari WHERE muddat < NOW();
DELETE FROM kirish_urinishlari WHERE vaqt < DATE_SUB(NOW(), INTERVAL 90 DAY);

-- Anonimlashtirilgan arxiv
UPDATE buyurtmalar
SET izoh = NULL, telefon = NULL
WHERE yaratilgan < DATE_SUB(NOW(), INTERVAL 3 YEAR);

// Muntazam tozalash vazifasi
final class MalumotTozalash
{
    private const QOIDALAR = [
        ['jadval' => 'sessiyalar',          'maydon' => 'oxirgi_faollik', 'kun' => 30],
        ['jadval' => 'kirish_urinishlari',  'maydon' => 'vaqt',           'kun' => 90],
        ['jadval' => 'vaqtinchalik_fayllar','maydon' => 'yaratilgan',     'kun' => 7],
        ['jadval' => 'xabarnomalar',        'maydon' => 'yaratilgan',     'kun' => 180],
    ];

    public function ishlang(): void
    {
        foreach (self::QOIDALAR as $qoida) {
            $stmt = $this->pdo->prepare(sprintf(
                'DELETE FROM %s WHERE %s < DATE_SUB(NOW(), INTERVAL ? DAY) LIMIT 10000',
                $qoida['jadval'],
                $qoida['maydon'],
            ));

            do {
                $stmt->execute([$qoida['kun']]);
                $ochirilgan = $stmt->rowCount();

                $this->jurnal->info('Ma\'lumot tozalandi', [
                    'jadval'     => $qoida['jadval'],
                    'ochirilgan' => $ochirilgan,
                ]);
            } while ($ochirilgan === 10000);
        }
    }
}

// Katta hajmdagi yuklab olishni kuzatish
final class MalumotChiqishiNazorati
{
    private const KUNLIK_CHEGARA = 1000;

    public function tekshiring(Foydalanuvchi $f, int $qatorlarSoni): void
    {
        $bugun = $this->hisoblagich->oshiring(
            "eksport:{$f->id}:" . date('Y-m-d'),
            $qatorlarSoni,
            86400,
        );

        if ($bugun > self::KUNLIK_CHEGARA) {
            $this->xavfsizlik->ogohlantiring('katta_hajmdagi_eksport', [
                'foydalanuvchi_id' => $f->id,
                'email'            => $f->email,
                'bugungi_qatorlar' => $bugun,
                'ip'               => $this->sorov->ip(),
            ]);

            throw new EksportChegarasiOshdi(self::KUNLIK_CHEGARA);
        }
    }
}

// Ketma-ket so'rovlarni aniqlash
final class SkanerlashDetektori
{
    public function tekshiring(Foydalanuvchi $f, int $resursId): void
    {
        $kalit = "korilgan:{$f->id}";
        $oxirgi = (int) $this->kesh->oling("{$kalit}:oxirgi");

        if ($oxirgi > 0 && abs($resursId - $oxirgi) === 1) {
            $ketmaKet = $this->kesh->oshiring("{$kalit}:ketma", 300);

            if ($ketmaKet > 20) {
                $this->xavfsizlik->ogohlantiring('ketma_ket_sorovlar', [
                    'foydalanuvchi_id' => $f->id,
                    'soni'             => $ketmaKet,
                ]);
            }
        } else {
            $this->kesh->ochiring("{$kalit}:ketma");
        }

        $this->kesh->saqlang("{$kalit}:oxirgi", $resursId, 300);
    }
}

final class ShaxsiyMalumotXizmati
{
    public function eksport(int $foydalanuvchiId): array
    {
        return [
            'profil'      => $this->profil->oling($foydalanuvchiId),
            'buyurtmalar' => $this->buyurtmalar->foydalanuvchiniki($foydalanuvchiId),
            'manzillar'   => $this->manzillar->foydalanuvchiniki($foydalanuvchiId),
            'sharhlar'    => $this->sharhlar->foydalanuvchiniki($foydalanuvchiId),
            'sessiyalar'  => $this->sessiyalar->foydalanuvchiniki($foydalanuvchiId),
            'roziliklar'  => $this->roziliklar->foydalanuvchiniki($foydalanuvchiId),
        ];
    }

    public function ochiring(int $foydalanuvchiId): void
    {
        $this->pdo->beginTransaction();

        try {
            // Qonun talab qiladigan ma'lumot anonimlashtiriladi
            $this->buyurtmalar->anonimlashtiring($foydalanuvchiId);

            // Qolganlari o'chiriladi
            $this->manzillar->ochiring($foydalanuvchiId);
            $this->sharhlar->anonimlashtiring($foydalanuvchiId);
            $this->sessiyalar->hammasiniOchiring($foydalanuvchiId);
            $this->profil->ochiring($foydalanuvchiId);

            $this->audit->yozing('shaxsiy_malumot_ochirildi', [
                'foydalanuvchi_id' => $foydalanuvchiId,
                'sana'             => date('c'),
            ]);

            $this->pdo->commit();
        } catch (Throwable $x) {
            $this->pdo->rollBack();
            throw $x;
        }
    }
}

CREATE TABLE roziliklar (
    id               BIGINT UNSIGNED AUTO_INCREMENT PRIMARY KEY,
    foydalanuvchi_id BIGINT UNSIGNED NOT NULL,
    turi             VARCHAR(50) NOT NULL,
    berilgan         BOOLEAN NOT NULL,
    versiya          VARCHAR(20) NOT NULL,
    ip               VARCHAR(45),
    vaqt             TIMESTAMP DEFAULT CURRENT_TIMESTAMP,

    KEY idx_foydalanuvchi (foydalanuvchi_id, turi, vaqt DESC)
) ENGINE=InnoDB;

final class RozilikXizmati
{
    public function yozing(
        int $foydalanuvchiId,
        RozilikTuri $turi,
        bool $berilgan,
    ): void {
        // Eski yozuvlar o'chirilmaydi - tarix saqlanadi
        $this->repozitoriy->qoshing([
            'foydalanuvchi_id' => $foydalanuvchiId,
            'turi'             => $turi->value,
            'berilgan'         => $berilgan,
            'versiya'          => $this->joriySiyosatVersiyasi,
            'ip'               => $this->sorov->ip(),
        ]);
    }

    public function bormi(int $foydalanuvchiId, RozilikTuri $turi): bool
    {
        return $this->repozitoriy->oxirgi($foydalanuvchiId, $turi)?->berilgan ?? false;
    }
}

// Marketing xati yuborishdan oldin
if (!$this->rozilik->bormi($mijoz->id, RozilikTuri::Marketing)) {
    return;   // xat yuborilmaydi
}

final class MaxfiylikFiltri
{
    private const MAXFIY_KALITLAR = [
        'parol', 'password', 'token', 'sir', 'secret',
        'karta', 'cvv', 'pin', 'api_kalit', 'authorization',
    ];

    public function tozalang(array $malumot): array
    {
        $natija = [];

        foreach ($malumot as $kalit => $qiymat) {
            if ($this->maxfiymi((string) $kalit)) {
                $natija[$kalit] = '***';
                continue;
            }

            $natija[$kalit] = is_array($qiymat)
                ? $this->tozalang($qiymat)
                : $this->qiymatniTozalang($qiymat);
        }

        return $natija;
    }

    private function maxfiymi(string $kalit): bool
    {
        $past = mb_strtolower($kalit);

        foreach (self::MAXFIY_KALITLAR as $maxfiy) {
            if (str_contains($past, $maxfiy)) {
                return true;
            }
        }

        return false;
    }

    private function qiymatniTozalang(mixed $qiymat): mixed
    {
        if (!is_string($qiymat)) {
            return $qiymat;
        }

        // Karta raqamini maskalash
        $qiymat = preg_replace('/\b\d{13,19}\b/', '****', $qiymat);

        // Emailni maskalash
        return preg_replace_callback(
            '/([\w.+-]{1,2})[\w.+-]*(@[\w.-]+)/',
            fn (array $m) => $m[1] . '***' . $m[2],
            $qiymat,
        );
    }
}

# Ma'lumot buzilishi rejasi

## 1. Aniqlash va cheklash (0-4 soat)
- [ ] Buzilish faktini tasdiqlash
- [ ] Kirish yo'lini yopish
- [ ] Buzilgan hisoblarni bloklash
- [ ] Dalillarni saqlash (jurnal, xotira nusxasi)

## 2. Baholash (4-24 soat)
- [ ] Qanday ma'lumot oshkor bo'ldi?
- [ ] Nechta foydalanuvchi ta'sirlandi?
- [ ] Qachon boshlandi va qancha davom etdi?
- [ ] Ma'lumot ko'chirildimi yoki faqat ko'rildimi?

## 3. Xabar berish (24-72 soat)
- [ ] Rahbariyat
- [ ] Yuridik xizmat
- [ ] Nazorat organi (qonun talabiga ko'ra)
- [ ] Ta'sirlangan foydalanuvchilar
- [ ] Ommaviy bayonot (kerak bo'lsa)

## 4. Tiklash
- [ ] Zaiflikni tuzatish
- [ ] Parollarni majburiy almashtirish
- [ ] Sessiyalarni bekor qilish
- [ ] Qo'shimcha monitoring

## 5. Xulosa
- [ ] Hodisadan keyingi tahlil
- [ ] Jarayonlarni yangilash
- [ ] Xodimlarni o'qitish

// Foydalanuvchiga xabar shabloni
final class BuzilishXabari
{
    public function matn(array $tafsilotlar): string
    {
        return <<<XAT
        Hurmatli {$tafsilotlar['ism']},

        Biz {$tafsilotlar['sana']} kuni tizimimizda xavfsizlik hodisasi
        yuz berganini aniqladik.

        NIMA BO'LDI
        {$tafsilotlar['tavsif']}

        QANDAY MA'LUMOT TA'SIRLANDI
        {$tafsilotlar['malumot']}

        BIZ NIMA QILDIK
        - Zaiflik darhol yopildi
        - Barcha sessiyalar bekor qilindi
        - Qo'shimcha monitoring o'rnatildi

        SIZ NIMA QILISHINGIZ KERAK
        1. Parolingizni almashtiring
        2. Ikki bosqichli autentifikatsiyani yoqing
        3. Boshqa saytlarda bir xil parol ishlatgan bo'lsangiz,
           ularni ham almashtiring
        4. Shubhali faollikni kuzating

        SAVOLLAR
        xavfsizlik@dokon.uz | +998 71 xxx-xx-xx

        Uzr so'raymiz va sizning ishonchingizni qadrlaymiz.
        XAT;
    }
}