专栏首页张善友的专栏SQL Server 2005单元级加密和SQL Server 2008 透明数据加密

SQL Server 2005单元级加密和SQL Server 2008 透明数据加密

SQL Server 2005 引入了在自身的数据库引擎中加密的功能。通过使用被数据库所管理的内部证书或密钥结构,这能够被用于加密和解密任意的数据。而不需要借助外部的证书或密钥来执行。

SQL Server 提供了内置的容易的加密和解密数据的功能,是通过证书、不对称密钥或对称密钥来实现的。管理了内部所有的证书存储。这些存储使用了分层次的加密,安全证书和密钥在一个级别层次之上。这些SQL Server 2005 的特性被称之为Secret Storage。

通过内部API实现的最快的加密模式是堆成密钥加密。这种模式适合处理大量的数据。对称加密密钥通过X509.v3证书被加密存储。

SQL Server 2005 支持一些对称加密的算法。这些算法在Windows Crypto API中被执行。

在数据库连接区域中,SQL Server 2005 能够保持多种开放式对称密钥。通过“解开”,密钥 被从存储中重新得到,并被准备好了用于加密数据。当一部分数据被加密时,不需要指定使用对称密钥,取而代之的是,如果当前密钥被解密和解开了,这些加密字节引擎自动流向解开的对称密钥。这个密钥被用于解密和还原数据。如果当前密钥是不解开的,则返回值为空。

“解开”密钥的能力需要直接访问密钥上的访问控制列表ACL。

给予SQL Server 2005 这种加密机制的支持,有以下几种方法。

1. 为每个特定的在数据库中被用于标记数据的表建立一个对称密钥。

2. 通过相应的密钥在标签单元中加密数据。

3. 通过被解开用户标签的映射标签的密钥来控制访问密钥。提供了简单的在建立连接时解开所有密钥的方法。

4. 使用在基本表上的视图,包括在SELECT语句中调用加密API来定义这个视图。

以下有一个简单的例子来显示如何定义这个视图。

CREATE VIEW MyTable 
AS 
SELECT ID, 
DecryptByKey(SensitiveData), 
DecryptByKey(OtherSensitiveData), 
NonSensitiveData, 
FROM BaseTable 
GO 

给出了这种方法,让我们看看在用户选择了这个视图时发生了什么。被映射到标签的用户能够访问的所有密钥都被解开了。因此,带有标签的所有单元在SELECT 语句被执行的时候都将会被解密。相反地,被映射到标签的用户不能够访问的所有密钥将不会被解开。当SELECT语句被执行的时候,带有这些标签的单元返回空值,不会为用户提供任何在单元中的数据信息。 这种方法完成了细节,动态控制了我们查询的相关表中的数据。具体参见http://www.microsoft.com/china/technet/prodtechnol/sql/2005/sql2005cls.mspx

SQL Server 2008中的透明数据加密(TDE),可以选择同SQL Server 2005中一样使用单元级的加密,或者是使用TDE进行完全数据库级加密、或者是由Windows提供的文件级加密。它旨在为整个数据库提供静态保护而不影响现有的应用程序。对数据库进行加密,传统上都会涉及复杂的应用程序改动,例如修改表schemas、删除函数和明显的性能下降。

透明数据加密可以为加密数据提供更高的灵活性,因为对其而言加密是数据库的一个属性,而非仅仅是代码行中的函数结果。这样在数据级执行加密时,管理员就无需对其数据库结构和应用程序代码进行大量的改动。下面的代码显示的是如何使用透明数据加密方法来加密数据库。

USE master;
 GO 
--Create a master key
 CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'YouWillNeedToCreateAStrongPassword';
 GO 
--Create a certificate to use with TDE
 CREATE CERTIFICATE TDECERT WITH SUBJECT = 'TDECert'
 GO 
--Change to the database to encrypt
 USE AdventureWorks
 GO 
--Create your database master key
 CREATE DATABASE ENCRYPTION KEY
 WITH ALGORITHM = AES_128 --Use a strong algorithm
 ENCRYPTION BY SERVER CERTIFICATE TDECERT
 GO 
--Alter the database to encrypt it with the
 --master database key
 ALTER DATABASE AdventureWorks
 SET ENCRYPTION ON
 GO

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 开源的作业调度框架 - Quartz.NET

    Quartz.NET是一个开源的作业调度框架,是OpenSymphony 的 Quartz API的.NET移植,它用C#写成,可用于winform和asp.n...

    张善友
  • Quartz.net官方开发指南 第九课: JobStore

    JobStore负责保持对所有scheduler “工作数据”追踪,这些工作数据包括:job(任务),trigger(触发器),calendar(日历)等。为你...

    张善友
  • ASP.NET 2.0加密Web.config 配置文件

    可以使用受保护配置来加密 Web 应用程序配置文件(如 Web.config 文件)中的敏感信息(包括用户名和密码、数据库连接字符串和加密密钥)。对配置信息进行...

    张善友
  • 小侃 SQL加密和性能

    细说SQL Server中的加密 简介 加密是指通过使用密钥或密码对数据进行模糊处理的过程。在SQL Server中,加密并不能替代其他的安全设置,比如...

    逸鹏
  • 24小时挖矿实验

    关于加密货币,我并不是这方面的专家,而且我了解这方面也比较晚。我也没有资格告诉你比特币是你能做的最好的投资,事实上,我对此持保留态度。我知道加密货币是“去中心化...

    Hans He
  • win2000服务器在IIS中使用SSL配置HTTPS网站

    下面我们以WIN2000服务器版本的来做例子,介绍一下怎样利用SSL加密HTTP通道来加强IIS安全的,需要的朋友可以参考下

    习惯说一说
  • 密码协议5 TLS1.3

    密码协议1 Identification and login Introduction

    安包
  • 少年看你文章写得不错,这款靠文字致富的小程序了解一下?

    知晓君
  • 怎么寻找SQL注入点

      如果要对一个网站进行SQL注入攻击,首先就需要找到存在SQL注入漏洞的地方,也就是寻找所谓的注入点。可能的SQL注入点一般存在于登录页面、查找页面或添加页面...

    周俊辉
  • Android手机拍照

    参考: 视频教程:http://v.youku.com/v_show/id_XNjI5MzkzMjQ4.html 官方API档file:///D:/Androi...

    用户1215536

扫码关注云+社区

领取腾讯云代金券