干货丨加密数据迁移二三事

随着应用系统以及数据库的迭代更新，新旧系统之间往往需要进行大量的数据迁移。与此同时，在数据库中，越来越多的敏感数据是以加密的方式进行存储的。市场上不同的数据库产品之间关于数据加解密的接口实现以及使用上存在差异，导致在应用系统迁移的时候需要考虑更多的兼容性问题。

本文以KingbaseES数据库为例，谈谈如何规避或解决用户在加密数据迁移过程中可能出现的一些问题。

1、若用户选择了透明加密，迁移是否会遇到问题？

数据库透明加密是指对库内数据的加密和解密，对数据库的访问程序是完全无感知的。特别是应用系统，不需要做任何修改和编译，就能够直接应用到加密库上。因此，使用透明加密的应用通常不用关心加密处理，包括加密算法。

透明加密的数据如何迁移呢?

通常需要关注在算法的选择上。比如源数据库中数据是透明加密的，这类数据迁移到KingbaseES时，需要选择和源数据库的加密算法强度类似的加密算法，KingbaseES支持SM4和RC4算法，密钥由数据库内部随机生成，需要参照KingbaseES的《安全管理手册》文档设置透明加密。

透明加密使用的密钥都是数据库服务器负责生成和维护的，不用用户和应用指定，所以迁移时，不需要处理密钥。

2、若用户使用加密函数对数据进行加密，可能会遇到哪些问题？

2.1应该选择什么样的加解密函数？

与透明加密相对应的，是在应用系统中对数据进行加密，然后再存储到数据库中。需要真实数据的时候，从数据库中读取密文，应用程序再对数据进行解密得到明文。

这时候，用户对数据的加解密操作既可以使用外部自定义的函数，也可以采用数据库内置的加解密模块中函数来实现。

KingbaseES提供了一系列函