Oracle数据库加密方案

Oracle数据库加密方案本文提供数据安全解决方案(Oracle+TDE),目的在于客户在使用数据库中敏感数据时,希望能增强数据库安全性的考虑,在使用过程中,管理员不能随意地查询数据库数据或篡改数据。

马上行动,了解启用Oracle数据库加密方案将获得的受益。

使用Oracle数据库加密方案可获得的功能

为了解决客户在使用带有敏感数据的系统时,希望能增强数据库安全性的考虑,在使用过程中,管理员不能随意地查询数据库数据或篡改数据。
本文描述的解决方案通过
TDE加密技术能良好地在数据库上应用。既不影响既有使用,又能增强数据库安全性,防止信息外泄或者被盗取后不会被随意地使用传播。

(一)TDE背景

       TDE是Oracle10gR2中推出的一个新功能,所以在规划使用TDE的时候,要保证Oracle版本是在10gR2或者以上。10g只能使用列加密,11g开始提供表空间加密。对数据列加密是TDE一个常用的功能,常需要对数据库中某个表的某个敏感数据进行加密处理,防止信息的外泄。当用户插入数据的时候,数据库透明地加密数据然后存储加密后的数据。同样的,当用户读取数据时,数据库自动进行解密。最后返回明文给用户。由于加密解密操作对应用程序来说都是透明的,不需要应用程序修改代码,因此这个特性就叫做:透明数据加密(TDE)。用户甚至都不需要知道发生过加密和解密——也就是所谓的透明。全部都是由Oracle代码内部完成,不需要任何触发器或者复杂的过程逻辑。由于数据是加密存储的,所有后续的组建例如备份和归档日志,都是加密的格式。通过这种加密数据的方式,即使保存在磁盘上的数据被盗,也无法解密数据。这样做满足了很多规则和指南的要求,而所有的这些并不需要修改应用程序或者编写复杂的加密和密钥管理系统。

     TDE涉及3个密码,一个是钱夹密码,用来启动钱夹;一个是master密钥,用来加密解密表密钥;一个是表密钥,用来加解密数据,钱夹密码是用户手工输入的,master密钥和表密钥是系统管理的。


Oracle TDE工作原理图

(二) 系统方案

通过开启HSM提供的密钥库来支持TDE做加密/解密:

根据密钥库打开和关闭状况可以实现如下安全特性;

我们的密钥库打开状态:


1、数据库:密钥库打开状态下,查询分析器可以通过查询语句查询加密列、非加密列;

2、敏感数据表:打开状态下,增删改等系统操作不受影响,可以正常操作,且保存成功。列表也可展示数据。

我们的密钥库关闭状态:

1、关闭状态下,查询分析器无法查询加密列、但是可以显示查询非加密列;

2、关闭状态下,无法在带敏感数据的系统上进行系统操作。

(三)性能问题

   由于加密、解密消耗CPU,因此需要考虑性能的影响。当访问表中不加密的列时,性能和不使用TDE的表没有任何差别。只有在访问加密列的时候,会有小的性能负担,包括查询加密列和插入加密列。


(四)优势

      使用TDE加密的优势是:该功能仅需少量的编码工作,并且实施过程快速、简便。数据库文件的加密在页级别执行。 已加密数据库中的页在写入磁盘之前会进行加密,在读入内存时会进行解密。 TDE不会增加已加密数据库的大小。

     以上方案总结,TDE主要是用于数据文件被窃取的场景,由于加密后的数据与master key是分开存放的,所以即使数据文件被窃取,攻击者也无法解密。而且即使master key 与Data同时被窃取,由于master key是被口令加密的,攻击者同样无法解密。也不会增加数据库负担。只要开启密钥库,使用与平常无异,但一旦关闭密钥库,无法再进行正常的带敏感数据库系统操作。





技术规格

支持的操作系统

加密狗支持windowsWindows系列支持的产品

圣天诺 LDK 运行环境(x86 和 x64)

  • Windows XP
  • Windows Vista
  • Windows 7
  • Windows 8,Windows 8.1
  • Windows Server 2003
  • Windows 2008
  • Windows 2008 R2
  • Windows Server 2012

(仅限 x86)Windows XP Embedded 标准版

(仅限 x86)Windows 7 Embedded 标准版

注意:圣天诺 LDK 运行环境已被 Microsoft 认证为“与 Windows 8 兼容”(x86 和 x64)。 

圣天诺 LDK 开发商工具(x86 和 x64)

  • Windows XP SP3
  • Windows Vista
  • Windows 7
  • Windows 8,Windows 8.1
  • Windows Server 2003
  • Windows 2008
  • Windows 2008 R2
  • Windows Server 2012

圣天诺 EMS 服务(x86 和 x64)

  • Windows XP
  • Windows Server 2003
  • Windows 2008
  • Windows 7
  • Windows 8,Windows 8.1

数据库支持

  • Microsoft SQL Server 2005 x86/x64
  • Microsoft SQL Server 2005 Express Edition(必须启用远程连接)x86/x64
  • Microsoft SQL Enterprise 2008 x86/x64
  • Microsoft SQL Enterprise 2008 R2 x86/x64


加密狗支持mac系统Mac系列支持的产品


  • 圣天诺 LDK 运行环境和开发商工具:
    • Mac OS X 10.6.8(32 位和 64 位,仅限 Intel 处理器)
    • Mac OS X 10.7.5,10.8.5(64 位,仅限 Intel 处理器) 



加密狗支持linux系统Linux系列支持的产品


  • 圣天诺 LDK 运行环境和开发商工具:
    • OpenSUSE 12.3(x86 和 x86_64)
    • Red Hat EL 5.9 和 6.4(x86 和 x86_64)
    • Ubuntu Desktop 和 Server 12.04(x86 和 x86_64)
    • Ubuntu Server 10.04(x86 和 x86_64)
    • Debian 6.0.x(x86 和 x86_64)
    • CentOS 6.4(x86 和 x86_64)


 
加密狗支持wine系统Wine支持
 
  • 圣天诺 LDK 运行环境在采用 Wine 1.4.1 的 Linux 平台上经过测试。


  

加密狗支持虚拟机支持的虚拟机平台

 圣天诺 LDK 支持在以下虚拟机平台上安装受保护的应用程序:

  • Virtual Box 4.2.12
  • VMware Player 5.0.2
  • Hyper-V Server 2012 (SL only)
  • VMware Workstation 9.0.2
  • VMware ESXi 4.x
  • VMware ESXi 5.1
  • XEN 4.2.1
  • KVM(RHEL 6、Ubuntu 12.04 服务器、Debian)
  • Parallels(8,9)




支持的 Web 浏览器

圣天诺 EMS 可以使用以下 Web 浏览器来访问用户界面:

  • Microsoft Internet Explorer(32 位)版本 8、9、10
  • Mozilla Firefox(32 位)版本 22
  • Google Chrome(32 位)版本 23 和更高版本

注意:如需在圣天诺 EMS 中进行任何访问保护锁的操作(例如烧制、回收、录入锁或在线激活),您必须使用 32 位的网页浏览器。其他操作可以使用 32 位或 64 位网页浏览器在圣天诺 EMS 中完成。

  管理控制中心

  • Microsoft Internet Explorer(32 位)版本 8、9、10
  • Mozilla Firefox(32 位)版本 22
  • Google Chrome(32 位)版本 23 和更高版本

系统要求:

  •  最少 512 MB 内存和 0.7 GB 可用磁盘空间  
  •  屏幕分辨率 1280x1024 像素,24 位色质量 


 



下载产品选型表

免费申请试用

图片看不清?点击重新得到验证码

  其中标有*为必填项目,收集仅为提供测试品时使用。