基本介紹
- 中文名：資料庫加密
- 專利技術：密文索引和套用透明
套用介紹,實現技術,
套用介紹
套用背景
當前我國涉密部門(軍隊、軍工、政府、金融行業、保險行業、電信行業等)中，80%以上套用系統使用國外資料庫產品，特別是Oracle；如何保證系統在高性能、高可用的同時提升數據的安全性，確保關鍵信息不被泄露、國家利益不受損失已經迫在眉睫。
存在問題
當前主流Oracle安全增強方案包括前置代理、套用加密和Oracle自帶加密選件TDE等。前置代理需要套用大幅改造、大量Oracle核心特性無法使用；套用加密必須由套用實現數據加密，加密數據無法檢索，已有系統無法透明移植；TDE不能集成國產加密算法，不符合國家密碼政策。因此這幾種方案一直未能得到有效推廣。
成熟的資料庫加密軟體應該解決兩大重要難題，一是套用透明，二是密文索引。在安裝了資料庫加密軟體後，原有的套用系統基本不需要改造，因為大型的應用程式改造起來很困難，有的甚至源程式沒有了，導致無法改造；明文轉為密文後，原有按明文構造的索引必然失效，這就需要按照密文對應明文查詢的順序構造密文索引，通過密文索引可以讓資料庫查詢速度幾乎不減慢。
實現技術
對數據進行加密，主要有三種方式：系統中加密、客戶端(DBMS外層)加密、伺服器端(DBMS核心層)加密。客戶端加密的好處是不會加重資料庫伺服器的負載，並且可實現網上的傳輸加密，這種加密方式通常利用資料庫外層工具實現。而伺服器端的加密需要對資料庫管理系統本身進行操作，屬核心層加密，如果沒有資料庫開發商的配合，其實現難度相對較大。此外，對那些希望通過ASP獲得服務的企業來說，只有在客戶端實現加解密，才能保證其數據的安全可靠。
1.常用資料庫加密技術
信息安全主要指三個方面。一是數據安全，二是系統安全，三是電子商務的安全。核心是資料庫的安全，將資料庫的數據加密就抓住了信息安全的核心問題。
對資料庫中數據加密是為增強普通關係資料庫管理系統的安全性，提供一個安全適用的資料庫加密平台，對資料庫存儲的內容實施有效保護。它通過資料庫存儲加密等安全方法實現了資料庫數據存儲保密和完整性要求，使得資料庫以密文方式存儲並在密態方式下工作，確保了數據安全。
1.1資料庫加密技術的功能和特性
經過近幾年的研究，我國資料庫加密技術已經比較成熟。
一般而言，一個行之有效的資料庫加密技術主要有以下6個方面的功能和特性。
(1)身份認證：
用戶除提供用戶名、口令外，還必須按照系統安全要求提供其它相關安全憑證。如使用終端密鑰。
(2) 通信加密與完整性保護：
有關資料庫的訪問在網路傳輸中都被加密，通信一次一密的意義在於防重放、防篡改。
(3) 資料庫數據存儲加密與完整性保護：
資料庫系統採用數據項級存儲加密，即資料庫中不同的記錄、每條記錄的不同欄位都採用不同的密鑰加密，輔以校驗措施來保證資料庫數據存儲的保密性和完整性，防止數據的非授權訪問和修改。
(4)資料庫加密設定：
系統中可以選擇需要加密的資料庫列，以便於用戶選擇那些敏感信息進行加密而不是全部數據都加密。只對用戶的敏感數據加密可以提高資料庫訪問速度。這樣有利於用戶在效率與安全性之間進行自主選擇。
(5)多級密鑰管理模式：
主密鑰和主密鑰變數保存在安全區域，二級密鑰受主密鑰變數加密保護，數據加密的密鑰存儲或傳輸時利用二級密鑰加密保護，使用時受主密鑰保護。
(6) 安全備份：
系統提供資料庫明文備份功能和密鑰備份功能。
1.2對資料庫加密系統基本要求
(1) 欄位加密;
(2) 密鑰動態管理;
(3) 合理處理數據;
(4) 不影響合法用戶的操作;
(5) 防止非法拷貝;
1.3資料庫數據加密的實現
使用資料庫安全保密中間件對資料庫進行加密是最簡便直接的方法。主要是通過系統中加密、DBMS核心層(伺服器端)加密和DBMS外層(客戶端)加密。
在系統中加密，在系統中無法辨認資料庫檔案中的數據關係，將數據先在記憶體中進行加密，然後檔案系統把每次加密後的記憶體數據寫入到資料庫檔案中去，讀入時再逆方面進行解密就，這種加密方法相對簡單，只要妥善管理密鑰就可以了。缺點對資料庫的讀寫都比較麻煩，每次都要進行加解密的工作，對程式的編寫和讀寫資料庫的速度都會有影響。
在DBMS核心層實現加密需要對資料庫管理系統本身進行操作。這種加密是指數據在物理存取之前完成加解密工作。這種加密方式的優點是加密功能強，並且加密功能幾乎不會影響DBMS的功能，可以實現加密功能與資料庫管理系統之間的無縫耦合。其缺點是加密運算在伺服器端進行，加重了伺服器的負載，而且DBMS和加密器之間的接口需要DBMS開發商的支持。
在DBMS外層實現加密的好處是不會加重資料庫伺服器的負載，並且可實現網上的傳輸，加密比較實際的做法是將資料庫加密系統做成DBMS的一個外層工具，根據加密要求自動完成對資料庫數據的加解密處理。
採用這種加密方式進行加密，加解密運算可在客戶端進行，它的優點是不會加重資料庫伺服器的負載並且可以實現網上傳輸的加密，缺點是加密功能會受到一些限制，與資料庫管理系統之間的耦合性稍差。
資料庫加密系統分成兩個功能獨立的主要部件：一個是加密字典管理程式，另一個是資料庫加解密引擎。資料庫加密系統將用戶對資料庫信息具體的加密要求以及基礎信息保存在加密字典中，通過調用數據加解密引擎實現對資料庫表的加密、解密及數據轉換等功能。資料庫信息的加解密處理是在後台完成的，對資料庫伺服器是透明的。
按以上方式實現的資料庫加密系統具有很多優點：首先，系統對資料庫的最終用戶是完全透明的，管理員可以根據需要進行明文和密文的轉換工作;其次，加密系統完全獨立於資料庫套用系統，無須改動資料庫套用系統就能實現數據加密功能;第三，加解密處理在客戶端進行，不會影響資料庫伺服器的效率。
資料庫加解密引擎是資料庫加密系統的核心部件，它位於應用程式與資料庫伺服器之間，負責在後台完成資料庫信息的加解密處理，對套用開發人員和操作人員來說是透明的。數據加解密引擎沒有操作界面，在需要時由作業系統自動載入並駐留在記憶體中，通過內部接口與加密字典管理程式和用戶應用程式通訊。資料庫加解密引擎由三大模組組成：加解密處理模組、用戶接口模組和資料庫接口模組。
