谁能简单介绍下数据库加密？

一、数据库加密是什么？

数据库加密技术属于主动防御机制，可以防止明文存储引起的数据泄密、突破边界防护的外部黑客攻击以及来自于内部高权限用户的数据窃取，从根本上解决数据库敏感数据泄漏问题。数据库加密技术是数据库安全措施中最顶级的防护手段，也是对技术性要求最高的，产品的稳定性至关重要。

二、数据库加密的方式有哪些？

目前，不同场景下仍在使用的数据库加密技术主要有：前置代理加密、应用系统加密、文件系统加密、后置代理加密、表空间加密和磁盘加密等，下文将对前四种数据加密技术原理进行简要说明。

1、前置代理加密技术

该技术的思路是在数据库之前增加一道安全代理服务，所有访问数据库的行为都必须经过该安全代理服务，在此服务中实现如数据加解密、存取控制等安全策略，安全代理服务通过数据库的访问接口实现数据存储。安全代理服务存在于客户端应用与数据库存储引擎之间，负责完成数据的加解密工作，加密数据存储在安全代理服务中。

2、应用加密技术

该技术是应用系统通过加密API(JDBC,ODBC,CAPI等)对敏感数据进行加密，将加密数据存储到数据库的底层文件中；在进行数据检索时，将密文数据取回到客户端，再进行解密，应用系统自行管理密钥体系。

3、文件系统加解密技术

该技术不与数据库自身原理融合，只是对数据存储的载体从 *** 作系统或文件系统层面进行加解密。这种技术通过在 *** 作系统中植入具有一定入侵性的“钩子”进程，在数据存储文件被打开的时候进行解密动作，在数据落地的时候执行加密动作，具备基础加解密能力的同时，能够根据 *** 作系统用户或者访问文件的进程ID进行基本的访问权限控制。

4、后置代理技术

该技术是使用“视图”+“触发器”+“扩展索引”+“外部调用”的方式实现数据加密，同时保证应用完全透明。核心思想是充分利用数据库自身提供的应用定制扩展能力，分别使用其触发器扩展能力、索引扩展能力、自定义函数扩展能力以及视图等技术来满足数据存储加密，加密后数据检索，对应用无缝透明等核心需求。

三、数据库加密的价值

1、在被拖库后，避免因明文存储导致的数据泄露

通常情况下，数据库中的数据是以明文形式进行存储和使用的，一旦数据文件或备份磁带丢失，可能引发严重的数据泄露问题；而在拖库攻击中，明文存储的数据对于攻击者同样没有任何秘密可言——如Aul、MyDul等很多成熟的数据库文件解析软件，均可对明文存储的数据文件进行直接分析，并输出清晰的、结构化的数据，从而导致泄密。

数据库加密技术可对数据库中存储的数据在存储层进行加密，即使有人想对此类数据文件进行反向解析，所得到的也不过是没有任何可读性的“乱码”，有效避免了因数据文件被拖库而造成数据泄露的问题，从根本上保证数据的安全。

2、对高权用户，防范内部窃取数据造成数据泄露

主流商业数据库系统考虑到初始化和管理的需要，会设置以sys、sa或root为代表的数据库超级用户。这些超级用户天然具备数据访问、授权和审计的权限，对存储在数据库中的所有数据都可以进行无限制的访问和处理；而在一些大型企业和政府机构中，除系统管理员，以数据分析员、程序员、服务外包人员为代表的其他数据库用户，也存在以某种形式、在非业务需要时访问敏感数据的可能。

数据库加密技术通常可以提供独立于数据库系统自身权限控制体系之外的增强权控能力，由专用的加密系统为数据库中的敏感数据设置访问权限，有效限制数据库超级用户或其他高权限用户对敏感数据的访问行为，保障数据安全。

设置加密密钥：

Oracle 透明数据加密提供了实施加密所必需的关键管理基础架构。 加密的工作原理是将明文数据以及秘密(称作密钥)传递到加密程序中。 加密程序使用提供的密钥对明文数据进行加密，然后返回加密数据。 以往，创建和维护密钥的任务由应用程序完成。 Oracle 透明数据加密通过为整个数据库自动生成一个万能密钥解决了此问题。 在启动 Oracle 数据库时，管理员必须使用不同于系统口令或 DBA 口令的口令打开一个 Oracle Wallet 对象。 然后，管理员对数据库万能密钥进行初始化。 万能密钥是自动生成的。

性能：

由于索引数据未被加密，因此加密通常会影响现有的应用程序索引。 Oracle 透明数据加密对与给定应用程序表关联的索引值进行加密。 这意味着应用程序中的相等搜索对性能的影响很小，甚至没有任何影响。 例如，假设应用程序 card_id存在一个索引，并且此应用程序执行以下语句：

SQL>Select cash from credit_card where card_id = '1025023590'

Oracle 数据库将使用现有的应用程序索引，尽管 card_id信息已经在数据库中加密。

准备用于加密的数据库：

在本部分内容中，您将更新 sqlnet.ora、创建一个加密钱夹 (ewallet.p12)、打开此钱夹并为 TDE创建万能密钥。执行以下 *** 作：

1. 您需要更新 sqlnet.ora 文件以包含一个 ENCRYPTED_WALLET_LOCATION 条目。打开一个终端窗口，然后输入以下命令：

cd $ORACLE_HOME/network/admin

gedit sqlnet.ora

将以下条目添加到文件末尾：

ENCRYPTION_WALLET_LOCATION=(SOURCE=(METHOD=FILE)(METHOD_DATA=(DIRECTORY=/opt/oracle/admin/test97/wallet/)))

如果不加这一项的话，则会提示下面错误：

SQL>alter system set key identified by "hurray"

2

alter system set key identified by "hurray"

*

ERROR at line 1:

ORA-28368: cannot auto-create wallet

/opt/oracle/admin/test97/wallet/ 目录是用来存放生成的钱夹的。

可以为加密钱夹选择任何目录，但路径不应指向在数据库安装过程中创建的标准模糊钱夹(cwallet.sso)。

2. 接下来，您需要打开钱夹并创建万能加密密钥。从终端窗口中，输入以下命令：

connect / as sysdbaalter system set key identified by "welcome1"

此命令的作用为：

l 如果指定的目录中不存在加密钱夹，则将创建加密钱夹 (ewallet.p12)、打开此钱夹并创建/重新创建 TDE 的万能密钥。

l 如果指定目录中存在加密钱夹，则将打开此钱夹并创建/重新创建 TDE 的万能密钥。

之后，就可以测试数据了。

下面是实验记录：

alter system set key identified by "welcome1"

SQL>conn dodd/dodd123

create table test (id number,credit_card_number varchar2(16) ENCRYPT NO SALT)

SQL>insert into test values(1,'1231243242')

1 row created.

SQL>insert into test values(2,'33245235')

SQL>commit

Commit complete.

SQL>select * from test

ID CREDIT_CARD_NUMB

---------- ----------------

1 1231243242

2 33245235

可见，数据查看是明文，因为这个时候，加密钱夹已经打开，数据可以解密。

这时，停止数据库，再打开：

SQL>shutdown immediate

Database closed.

Database dismounted.

ORACLE instance shut down.

SQL>SQL>startup

ORACLE instance started.

Total System Global Area 524288000 bytes

Fixed Size 1979968 bytes

Variable Size 138414528 bytes

Database Buffers 377487360 bytes

Redo Buffers6406144 bytes

Database mounted.

Database opened.

SQL>select * from dodd.test

select * from dodd.test

*

ERROR at line 1:

ORA-28365: wallet is not open

SQL>select id from dodd.test

ID

----------

1

2

可以看到，因为数据库重启后，加密钱夹处于关闭状态，这时只要查询到加密的列，会提示加密钱夹没有打开。

如果用户想打开钱夹，必须具有alter system权限。

下面打开wallet：

SQL>conn / as sysdba

Connected.

SQL>alter system set wallet open identified by "welcome1"

System altered.

SQL>conn dodd/dodd123

Connected.

SQL>select * from test

ID CREDIT_CARD_NUMB

---------- ----------------

1 1231243242

2 33245235

可以看到，加密钱夹打开后，数据可以被解密。

还有一条：sys用户的表不能被加密。

可见：Oracle TDE是在数据层面上对表里的数据加密，而且不会影响数据库现有的权限控制策略。

salt实际上就是在加密过程中引入一个随机性。简单的说，就是一般来说，同样的明文产生同样的密文，这样就导致容易被解密者通过分析词频之类的方式(加解密我不太懂)来通过密文破解明文，如果指定salt，那么即使同样的明文加密后的密文也是不一样的。

no salt的话，自然就是相同的明文会产生相同的密文了。对于索引来说，要求no salt也就可以理解了

丢失ewallet加密钱夹的话，是不能再解密数据的。

Oracle 10gR2的 TDE 特性，对于防止机密信息的泄漏能起到事半功倍的作用!

---