全密态黑科技再升级，无感知加解密原理剖析

要实现在客户端进行加解密,无疑需要在客户端进行大量维护管理,包括数据密钥管理,敏感数据加密,解析和修改SQL语句等。openGauss将这一系列的复杂操作,全部封装在客户端加密驱动中,实现了完全自动化的敏感信息加密替换,同时在数据库中存储了所有加密相关的元信息,使得数据库可以很好的识别和处理对应的加密数据。同时SQL语句中的敏感信息相关的参数，也会被加密处理,保证查询任务不会泄露用户查询意图,减少客户端的复杂安全管理及操作难度,实现用户应用开发无感知。

另外,openGauss提供一系列的配置接口,满足用户对加密字段、加密算法、密钥安全存储等不同场景的需要。openGauss全密态数据库的透明性使得用户在任务迁移时将获得极大的便捷性。

对数据机密性及个人隐私最安全的保护就是加密，全密态技术能够在具体应用中对数据加解密，在数据库中完全以加密状态进行处理，以实现数据的全生命周期保护。然而，业界主流的应用端加解密技术，一般都涉及到密钥管理、算法选取、SQL语句变更、数据类型转换等大量操作。因此当业务需要对数据进行加密时，往往需要大量的适配迁移工作，而且容易因人为疏漏，导致风险。

而此次openGauss全密态推出无感知加密能力，核心是在客户端解析用户全部输入输出语句，识别出已定义的敏感数据，并且进行自动化的加解密。用户使用全密态数据库时，从输入语法，客户端发送到服务端，服务端执行并将结果返回给客户端的整个流程中，用户唯一能感知到的只有输入语法以及获得返回结果这两步。全密态数据库的技术核心分为几个模块，密钥管理、解析层、加解密驱动、隐式转换层、数据缓存等，全密态数据库的架构图如图1，这里我们主要介绍和用户无感知相关的几个模块。