数据库系统 第35节 数据库加密

数据库加密是一种重要的数据保护措施，它确保存储在数据库中的数据即使在未经授权的情况下被访问，也无法被轻易解读。以下是两种常见的数据库加密技术：

1. 透明数据加密 (Transparent Data Encryption, TDE):

   • TDE 是一种加密技术，它自动加密数据库中的数据文件，包括数据库的备份和日志文件。这种加密通常是实时的，即数据在写入磁盘之前被加密，在从磁盘读取时被解密。
   • TDE 通常不需要对应用程序代码进行修改，因为它在数据库管理系统层面工作，对应用程序透明。这意味着应用程序可以像平常一样访问数据，而不需要知道数据是如何被加密的。
   • TDE 可以提供强大的安全保护，因为它保护了数据在磁盘上的存储，即使数据库服务器被非法访问，攻击者也无法读取未加密的数据。

2. 列级加密:

   • 列级加密允许对数据库中的特定列进行加密，这通常用于保护敏感信息，如个人身份信息、财务数据等。与TDE不同，列级加密提供了更细粒度的控制，因为它允许开发者选择哪些数据需要加密。
   • 实现列级加密通常需要在应用程序中添加额外的逻辑来处理加密和解密操作。当数据被写入数据库时，应用程序会对选定的列进行加密；当数据被读取时，应用程序会解密这些列。
   • 列级加密可以通过使用数据库管理系统提供的内置加密函数或使用外部加密库来实现。

源代码示例

以下是使用列级加密的一个简单示例，假设我们使用Python和一个支持SQL的数据库（如MySQL或PostgreSQL）：

import pymysql
from cryptography.fernet import Fernet

# 生成密钥并初始化Fernet实例
key = Fernet.generate_key()
cipher_suite = Fernet(key)

# 连接到数据库
connection = pymysql.connect(host='localhost', user='user', password='password', db='mydb')

try:
    with connection.cursor() as cursor:
        # 加密数据
        encrypted_data = cipher_suite.encrypt(b"Sensitive Data")
        sql = "INSERT INTO my_table (sensitive_column) VALUES (%s)"
        cursor.execute(sql, (encrypted_data,))
        
        # 提交事务
        connection.commit()
finally:
    connection.close()

# 读取加密数据
with connection.cursor() as cursor:
    sql = "SELECT sensitive_column FROM my_table"
    cursor.execute(sql)
    result = cursor.fetchone()
    decrypted_data = cipher_suite.decrypt(result[0])
    print(decrypted_data.decode())

在这个示例中，我们使用了Python的cryptography库来处理加密和解密。数据在写入数据库之前被加密，并在读取时被解密。注意，实际应用中，密钥管理是一个重要的安全考虑，需要确保密钥的安全存储和访问控制。

让我们探讨如何在数据库中使用透明数据加密（TDE）。由于TDE通常是由数据库管理系统（DBMS）提供的，并且它的实现细节会因不同的数据库系统而异，这里我们将以SQL Server为例，展示如何启用TDE。

SQL Server中的透明数据加密（TDE）

在SQL Server中，启用TDE通常涉及以下步骤：

1. 生成加密密钥：这是用于加密数据库的密钥。
2. 创建加密证书：使用生成的密钥创建一个证书。
3. 启用数据库的TDE：将数据库设置为使用该证书进行加密。

步骤1: 生成加密密钥

在SQL Server Management Studio (SSMS) 中，你可以使用以下T-SQL命令生成一个新的密钥：

USE master;
GO

CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'YourStrong!Passw0rd';
GO

步骤2: 创建加密证书

使用上一步生成的密钥创建一个证书：

USE master;
GO

CREATE CERTIFICATE MyTDECertificate
WITH SUBJECT = 'My TDE Certificate';
GO

步骤3: 启用数据库的TDE

将数据库设置为使用创建的证书进行加密：

ALTER DATABASE [YourDatabaseName]
SET ENCRYPTION
ON
ENCRYPTION KEY = MyTDECertificate;
GO

注意事项

• 密钥管理：在实际部署中，密钥管理是至关重要的。确保密钥的安全存储和适当的访问控制。
• 性能影响：TDE可能会对数据库性能产生一定影响，因为加密和解密操作需要额外的计算资源。
• 备份：确保对包含加密数据库的备份进行加密，以防止数据在备份过程中泄露。
• 合规性：在某些行业，如金融和医疗保健，可能需要符合特定的数据保护法规，确保加密措施符合这些要求。

总结

数据库加密是保护数据安全的重要手段。透明数据加密（TDE）提供了一种无需修改应用程序代码即可保护整个数据库的方法，而列级加密则允许更细粒度的控制，适用于需要保护特定敏感数据的场景。正确实施这些技术可以显著提高数据的安全性。

继续讨论数据库加密，我们可以深入探讨一些高级主题和最佳实践，以及如何在不同的数据库系统中实现这些技术。

高级主题

1. 密钥管理服务：

   • 对于大型企业，使用密钥管理服务（KMS）来管理加密密钥是一个常见的做法。KMS提供了一个集中的解决方案，用于生成、存储、使用和旋转密钥。
   • 例如，AWS的Key Management Service (KMS)、Azure Key Vault和Google Cloud KMS都是提供密钥管理服务的平台。

2. 加密算法的选择：

   • 选择合适的加密算法对于确保数据安全至关重要。常见的算法包括AES（高级加密标准）、RSA和SHA-256等。
   • 应选择符合当前安全标准的算法，并定期评估和更新以应对新的安全威胁。

3. 加密模式：

   • 加密模式决定了如何使用密钥来加密数据。常见的模式包括CBC（密码块链接模式）、ECB（电子密码本模式）和GCM（伽罗瓦/计数器模式）。
   • 每种模式都有其优缺点，选择合适的模式取决于具体的安全需求和性能考虑。

最佳实践

1. 定期旋转密钥：

   • 定期更换加密密钥是提高安全性的一个重要步骤。这可以防止密钥泄露后长期暴露数据。
   • 密钥旋转策略应包括自动和手动过程，确保在不影响业务操作的情况下进行。

2. 审计和监控：

   • 监控和记录所有加密操作是检测和响应潜在安全威胁的关键。
   • 使用数据库的审计功能来跟踪谁访问了加密数据，以及进行了哪些操作。

3. 数据访问控制：

   • 确保只有授权用户才能访问加密数据。实施严格的访问控制策略，包括基于角色的访问控制（RBAC）和最小权限原则。

4. 灾难恢复计划：

   • 确保在灾难恢复计划中包括加密数据的处理。这包括备份加密密钥和确保在灾难发生时可以恢复加密数据。

不同数据库系统的实现

• Oracle：

  • Oracle数据库提供了Transparent Data Encryption (TDE)功能，可以在数据库级别或表空间级别启用。
  • 可以使用Oracle的Key Vault来管理加密密钥。

• MySQL：

  • MySQL 8.0及以上版本支持透明数据加密。
  • 可以使用内置的密钥管理或集成第三方KMS。

• PostgreSQL：

  • PostgreSQL支持使用pgcrypto模块进行列级加密。
  • 也可以通过扩展如pgcrypto实现更高级的加密功能。

总结

数据库加密是一个多层次的过程，涉及选择合适的加密技术、管理加密密钥、实施最佳实践以及适应不同的数据库系统。通过综合考虑这些因素，可以有效地保护存储在数据库中的敏感数据，确保数据的安全性和完整性。

好的，让我们通过具体的代码示例来说明如何在不同数据库系统中实现数据库加密。

1. SQL Server的透明数据加密（TDE）

在SQL Server中，启用TDE的代码示例如下：

生成加密密钥

USE master;
GO

CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'YourStrong!Passw0rd';
GO

创建加密证书

USE master;
GO

CREATE CERTIFICATE MyTDECertificate
WITH SUBJECT = 'My TDE Certificate';
GO

启用数据库的TDE

ALTER DATABASE [YourDatabaseName]
SET ENCRYPTION
ON
ENCRYPTION KEY = MyTDECertificate;
GO

2. MySQL的透明数据加密（TDE）

在MySQL 8.0及以上版本中，启用TDE的代码示例如下：

创建加密密钥

CREATE ENCRYPTION KEY
TYPE = AES
KEY_LENGTH = 256
ALGORITHM = AES_256_CBC;

启用数据库的TDE

ALTER INSTANCE ROTATE INNODB MASTER KEY;

3. PostgreSQL的列级加密

在PostgreSQL中，使用pgcrypto模块进行列级加密的代码示例如下：

安装pgcrypto模块

CREATE EXTENSION pgcrypto;

创建加密函数

CREATE OR REPLACE FUNCTION encrypt_column(data text, key text)
RETURNS text AS $$
DECLARE
    encrypted_data bytea;
BEGIN
    -- 使用AES加密
    encrypted_data := pgp_sym_encrypt(data, key);
    RETURN encrypted_data;
END;
$$ LANGUAGE plpgsql;

创建解密函数

CREATE OR REPLACE FUNCTION decrypt_column(encrypted_data bytea, key text)
RETURNS text AS $$
DECLARE
    decrypted_data text;
BEGIN
    -- 使用AES解密
    decrypted_data := pgp_sym_decrypt(encrypted_data, key);
    RETURN decrypted_data;
END;
$$ LANGUAGE plpgsql;

使用加密和解密函数

-- 插入加密数据
INSERT INTO my_table (sensitive_column)
VALUES (encrypt_column('Sensitive Data', 'MySecretKey'));

-- 查询并解密数据
SELECT decrypt_column(sensitive_column, 'MySecretKey') FROM my_table;

4. Oracle的透明数据加密（TDE）

在Oracle数据库中，启用TDE的代码示例如下：

创建加密密钥

CREATE OR REPLACE FUNCTION generate_tde_key
RETURN RAW
DETERMINISTIC
IS
  key RAW(16);
BEGIN
  key := UTL_RAW.CAST_TO_RAW(UTL_I18N.STRING_TO_RAW('MySecretKey', 'AL32UTF8'));
  RETURN key;
END;
/

创建加密证书

CREATE WRAPPER my_tde_wrapper FOR FUNCTION generate_tde_key;

启用数据库的TDE

ALTER TABLESPACE users
ENCRYPTION USING my_tde_wrapper;

总结

通过这些示例，我们可以看到不同数据库系统如何实现数据库加密。无论是使用透明数据加密（TDE）还是列级加密，关键在于选择合适的加密技术，管理好加密密钥，并确保数据在存储和传输过程中的安全性。这些示例提供了一个基本的框架，可以根据具体需求进行扩展和定制。