常見數(shù)據(jù)庫(kù)加密技術(shù)對(duì)比

1、常見數(shù)據(jù)庫(kù)加密技術(shù)對(duì)比作者：安華金和 孫崢數(shù)據(jù)庫(kù)加密作為近年來興起的數(shù)據(jù)庫(kù)安防技術(shù)，已經(jīng)被越來越多的人所重視。這種基于存儲(chǔ)層加密的防護(hù)方式，不僅可以有效解決數(shù)據(jù)庫(kù)明文存儲(chǔ)引起的泄密風(fēng)險(xiǎn)，也可以防止來自內(nèi)部或者外部的入侵及越權(quán)訪問行為。從技術(shù)手段上來看，現(xiàn)今數(shù)據(jù)庫(kù)加密技術(shù)主要有三大類，分別是前置代理及加密網(wǎng)關(guān)方式、應(yīng)用層加密方式以及后置代理方式。這三類技術(shù)各自的特點(diǎn)如何，彼此之間孰優(yōu)孰劣，下文詳盡介紹。一. 前置代理及加密網(wǎng)關(guān)數(shù)據(jù)庫(kù)加密技術(shù)該數(shù)據(jù)庫(kù)加密技術(shù)思路是在數(shù)據(jù)庫(kù)之前增加一道安全代理服務(wù)，對(duì)數(shù)據(jù)庫(kù)訪問的用戶必須經(jīng)過該安全代理服務(wù)，在此服務(wù)中實(shí)現(xiàn)如數(shù)據(jù)加解密、存取控制等安全策略；然后安全代理

2、服務(wù)通過數(shù)據(jù)庫(kù)的訪問接口實(shí)現(xiàn)數(shù)據(jù)在庫(kù)中的加密存儲(chǔ)。安全代理服務(wù)存在于客戶端應(yīng)用與數(shù)據(jù)庫(kù)存儲(chǔ)引擎之間，負(fù)責(zé)完成庫(kù)中數(shù)據(jù)的加解密工作，加密數(shù)據(jù)存儲(chǔ)在安全代理服務(wù)中。這種數(shù)據(jù)庫(kù)加密技術(shù)也會(huì)存在一些問題和限制：1）由于在安全增強(qiáng)代理中需要存儲(chǔ)加密數(shù)據(jù)，因此要解決與數(shù)據(jù)庫(kù)存儲(chǔ)數(shù)據(jù)的一致性問題，這基本不可實(shí)現(xiàn)。2）數(shù)據(jù)的聯(lián)合檢索問題：由于在數(shù)據(jù)庫(kù)內(nèi)外都存在數(shù)據(jù)，這些數(shù)據(jù)的聯(lián)合檢索將變得很困難；SQL語法的完全兼容也非常困難。3）開發(fā)無法透明問題：數(shù)據(jù)庫(kù)協(xié)議雖然存在標(biāo)準(zhǔn)，但事實(shí)上每個(gè)不同的數(shù)據(jù)庫(kù)版本都會(huì)進(jìn)行若干變更、擴(kuò)展和增強(qiáng)，使用了這些特性的用戶必須進(jìn)行改造。同時(shí)在安全代理中對(duì)數(shù)據(jù)庫(kù)通訊協(xié)議的模擬非常困難

3、。4)數(shù)據(jù)庫(kù)的優(yōu)化處理、事務(wù)處理、并發(fā)處理等特性都無法使用：查詢分析、優(yōu)化處理、事務(wù)處理、并發(fā)處理工作都需要在安全增強(qiáng)器中完成，無法使用數(shù)據(jù)庫(kù)在并發(fā)處理和查詢優(yōu)化上的優(yōu)勢(shì)，系統(tǒng)的性能和穩(wěn)定性更多地依賴于安全代理；5) 此種數(shù)據(jù)庫(kù)加密技術(shù)對(duì)于對(duì)存儲(chǔ)過程、觸發(fā)器、函數(shù)等存儲(chǔ)程序的實(shí)現(xiàn)支持也非常困難。另外該數(shù)據(jù)庫(kù)加密技術(shù)需要在安全代理服務(wù)層提供非常復(fù)雜的數(shù)據(jù)庫(kù)管理功能，如：SQL命令解析，通訊服務(wù)，加密數(shù)據(jù)索引存儲(chǔ)管理、事務(wù)管理等等，因此存在巨大的開發(fā)工作量及很高的技術(shù)復(fù)雜度，此外還有類似于存儲(chǔ)過程、觸發(fā)器等無法解決的技術(shù)問題。二. 應(yīng)用層數(shù)據(jù)庫(kù)加密技術(shù)應(yīng)用層加密的主要技術(shù)原理在于，應(yīng)用系統(tǒng)通過加密

4、API(JDBC,ODBC,C API等)對(duì)敏感數(shù)據(jù)進(jìn)行加密，將加密數(shù)據(jù)存儲(chǔ)到數(shù)據(jù)庫(kù)的底層文件中；在進(jìn)行數(shù)據(jù)檢索時(shí)，將密文數(shù)據(jù)取回客戶端，再進(jìn)行解密。另外應(yīng)用系統(tǒng)將自行管理密鑰體系。這種數(shù)據(jù)庫(kù)加密方案也存在明顯缺陷，最主要的不足在于，應(yīng)用程序必須對(duì)數(shù)據(jù)進(jìn)行加解密，增加編程復(fù)雜度，而且無法對(duì)現(xiàn)有的系統(tǒng)做到透明，應(yīng)用程序必須進(jìn)行大規(guī)模的改造。從效率角度來看，這種技術(shù)方案無法利用數(shù)據(jù)庫(kù)的索引機(jī)制，加密后數(shù)據(jù)的檢索性能將產(chǎn)生大幅度下降。三. 基于視圖和觸發(fā)器的后置代理數(shù)據(jù)庫(kù)加密技術(shù)這種數(shù)據(jù)庫(kù)加密技術(shù)使用“視圖”+“觸發(fā)器”+“擴(kuò)展索引”+“外部調(diào)用”的方式實(shí)現(xiàn)數(shù)據(jù)加密，同時(shí)保證應(yīng)用完全透明。它的核心思

5、想是充分利用數(shù)據(jù)庫(kù)自身提供的應(yīng)用定制擴(kuò)展能力，分別使用其觸發(fā)器擴(kuò)展能力、索引擴(kuò)展能力、自定義函數(shù)擴(kuò)展能力以及視圖等技術(shù)來滿足數(shù)據(jù)存儲(chǔ)加密，加密后數(shù)據(jù)檢索，對(duì)應(yīng)用無縫透明等最主要需求。這種方案的技術(shù)原理主要有以下四個(gè)方面3.1 通過視圖實(shí)現(xiàn)加密數(shù)據(jù)透明查詢處理數(shù)據(jù)庫(kù)的視圖可以實(shí)現(xiàn)對(duì)表內(nèi)數(shù)據(jù)的過濾、投影、聚集、關(guān)聯(lián)和函數(shù)運(yùn)算。該方案正是通過數(shù)據(jù)庫(kù)的視圖原理實(shí)現(xiàn)對(duì)數(shù)據(jù)的透明訪問；首先對(duì)將原有的表進(jìn)行改名，然后在該表上建立與原表同名的視圖；在視圖內(nèi)實(shí)現(xiàn)對(duì)敏感列的解密函數(shù)調(diào)用，實(shí)現(xiàn)數(shù)據(jù)的解密。3.2 通過觸發(fā)器實(shí)現(xiàn)數(shù)據(jù)的加密插入和更新處理數(shù)據(jù)庫(kù)中的觸發(fā)器可以實(shí)現(xiàn)對(duì)數(shù)據(jù)更新動(dòng)作的特定行為的響應(yīng)，同時(shí)數(shù)據(jù)庫(kù)

6、中可以支持針對(duì)視圖的觸發(fā)器。這種數(shù)據(jù)庫(kù)加密方案在建立的視圖上建立Instead of觸發(fā)器，通過Instead of觸發(fā)器實(shí)現(xiàn)對(duì)數(shù)據(jù)庫(kù)中明文數(shù)據(jù)的加密，將加密數(shù)據(jù)插入到表中。3.3 通過數(shù)據(jù)庫(kù)的擴(kuò)展索引接口實(shí)現(xiàn)加密索引以O(shè)racle數(shù)據(jù)庫(kù)為例，在Oracle Data Cartridge的索引擴(kuò)展機(jī)制提供了一套現(xiàn)成的框架，可以自己定義索引并實(shí)現(xiàn)Operator，自行編寫索引在Create Index、Insert、Delete、Update語句執(zhí)行、以及Scan Index發(fā)生時(shí)的相應(yīng)處理代碼。通過該機(jī)制，可以使用自定義的擴(kuò)展加密索引，這樣當(dāng)使用該索引對(duì)數(shù)據(jù)庫(kù)加密數(shù)據(jù)進(jìn)行檢索時(shí)，可以進(jìn)行正常的排序及比較，這也就解決了加密后數(shù)據(jù)檢索的難題，大幅度提升了密文檢索的效率。3.4 通過外部接口調(diào)用實(shí)現(xiàn)獨(dú)立于數(shù)據(jù)庫(kù)的權(quán)限控制和國(guó)產(chǎn)加密算法在實(shí)現(xiàn)透明加密訪問和高效索引訪問之外，另一重要目的是實(shí)現(xiàn)對(duì)國(guó)產(chǎn)加密算法的調(diào)用和獨(dú)立于數(shù)據(jù)庫(kù)的權(quán)限控制。實(shí)現(xiàn)這一目的的技術(shù)關(guān)鍵是外部程序調(diào)用和外部通訊支持。在數(shù)據(jù)庫(kù)中支持外部程序調(diào)用，只要定義好通訊接口即可。那么這種方案可以將加密函數(shù)和解密函數(shù)做成外部調(diào)用，這樣不僅可