关于数据库加密狗你不知道的隐秘

国内数据库加密狗产品经历了哪些阶段?

国内数据库加密狗产品的发展可以分为三个阶段：

第一个阶段是摸索阶段。在2003年之前，国内的数据库加密狗手段是通过反编译国外安全数据库体系完成的。国外安全版本的数据库体系具有加密狗功能，有国内技术人员对其进行逆向工程，加入国产加密狗算法，即完成了“国产化”。该加密狗手段在国内某些敏感部门曾进行了小范围的应用，达到了肯定的结果。但随着数据库安全技术的进一步发展，目前已退出市场。

第二阶段是国外产品导入国内市场以及国产数据库加密狗产品萌芽阶段。从2003年开始，几家国外的数据库加密狗产品厂商，为了进入中国市场，将产品界面进行“中国化”，经由香港进入国内市场。但因为国家保密政策的限定，这些被伪装成国产的数据库加密狗产品并没有在国内数据库安全市场大行其道,反而渐渐鸣金收兵。据作者所知，国内也许还有一两家“国产化”的外国数据库加密狗产品在市场贩卖，但也是局限在很小的一个范围内，无法被国内用户广泛接受。但在这一阶段，渐渐有国内科研人员开始进行数据库加密狗技术的研究。2009年已稀有据库加密狗技术的专利发明出现。其中北京理工大学戴林副教授的“一种支撑密文索引的数据库透明加密狗方法”被学术界认为是国内数据库加密狗技术研究中最早最紧张的一个专利发明。随后，国内陆续有研发团队开始进行数据库加密狗产品的开发，虽说与国外顶级技术有不小差距，但毕竟是迈出了特别很是紧张的第一步。

第三个阶段是国产数据库加密狗技术渐渐产品化并走向市场的阶段。从2010年开始，随着科研成果的产业化，国内市场开始出现纯国产的数据库加密狗产品。经过市场的磨练，产品越来越成熟，越来越为数据库安全运维人员所接受。不难预见，假以时日，数据库加密狗产品将成为数据库安全市场的紧张力量，甚至能庖代数据库审计产品和数据库防火墙产品的市场地位，成为数据库安全市场的宠儿。

什么是数据库加密狗?

数据库加密狗是指将存储于数据库中的数据，尤其是敏感数据，以加密狗的体例进行存储。

为什么要对数据库加密狗?

数据是信息体系中最核心的资产，数据的丢失、破坏或走漏，很可能会给企业带来难以估量的损失。对敏感数据进行加密狗是数据安全防护中最核心的手段之一。数据类型分两种，一种是非结构化数据，比如文档和图片，另一种是结构化数据，比如数据库中的数据。这两种形态的数据都特别很是紧张，都必要进行加密狗珍爱。而结构化数据，通常所承载的是特别很是集中且极有价值的信息，因而对其进行加密狗珍爱尤为紧张。而且，因为国内所使用的数据库管理体系大都是国外产品，出于安全可控的考虑，在国产数据库尚不能完全庖代国外产品的现阶段，尤其必要一款纯国产的数据库加密狗产品。面对敏感数据频繁走漏的严厉实际，虽然加解密过程将损害数据库的使用服从，但对数据库进行加密狗仍是不得不为的需要防护措施。数据库加密狗能够明显提拔数据库的安全性。加密狗后，数据以密文的体例存储，防止了数据直接暴露，同时加强对加密狗数据的访问控制，大大降低了数据被走漏和恶意破坏的风险。

何为数据库透明加密狗?

数据库透明加密狗是指对库内数据的加密狗息争密，对数据库的访问程序是完全无感知的。分外是应用体系，不必要做任何修改和编译，就能够直接应用到加密狗库上。

与透明加密狗相对应的，是在应用体系中对数据进行加密狗，然后再存储到数据库中。必要真实数据的时候，从数据库中读取密文，再解密出明文。严酷的说，这种体例并不是数据库加密狗，而是数据加密狗。

本文所指的数据库加密狗都是指透明加密狗。

数据库加密狗实现体例有哪些，特征如何?

全盘加密狗：采用全盘加密狗体系或者存储加密狗网关体系，将数据库文件所在的磁盘扇区进行加密狗。当数据库访问磁盘扇区的时候，对加密狗扇区再进行解密。这种体例对于数据库自身来说是透明的，数据库管理体系也感觉不到加密狗解密过程的存在。这种加密狗体例工作在存储层，仅能防止磁盘丢失时敏感数据遭受走漏。所有对磁盘具有访问权限的用户都可以访问到真实的数据库文件。因而，对于控制了操作体系的攻击者来说，并没有防护能力。

文件加密狗：在操作体系文件驱动层将数据库的存储文件经过加密狗后存储到磁盘上。当数据库访问存储文件的时候，再进行解密。这种体例对于数据库自身来说也是透明的，数据库管理体系也感觉不到加密狗解密过程的存在。这种加密狗体例能防止磁盘丢失和文件被复制导致的敏感数据走漏。但是，对于控制了数据库体系的攻击者来说，文件照旧开放的，因而也没有真正的防护能力。

数据库自带加密狗：某些数据库自身提供了加密狗机制北京古建材料，在数据库内核实现了存储的加密狗。这种加密狗体例能防止磁盘丢失和文件被复制导致的敏感数据走漏。但是，对于控制了数据库体系的攻击者来说却是开放的，并没有防护能力。而且其密钥管理通常不会对数据库用户开放，安全性得不到保证，也得不到国内相干评测机构的认可。

库内扩展加密狗：通过使用视图、触发器、扩展索引等机制，实现透明加密狗。因为引入了自力于数据库的第三方程序，通过控制加密狗解密的权限，增长了额外的访问控制。对于数据库内不同的用户，也可以控制其对加密狗数据的访问。但是这种加密狗体例不能越过应用体系，实现应用体系用户对敏感数据的访问控制。而且这种加密狗体例依靠于数据库体系的扩展索引机制，并不能在所稀有据库上实现。

数据库加密狗网关或加密狗驱动：通过对数据库前端部署数据库加密狗网关，或者通过扩展数据库访问驱动(如JDBC驱动)实现数据库加密狗。这种体例理论上能够支撑所有的数据库，是一种通用的解决方案，且安全性更高。但是对于所有访问语句和访问机制却难以悉数支撑，例如对于网关之后的存储过程和触发器都无法支撑。

应用加密狗网关：在应用体系之前放置加密狗网关，进一步将数据加密狗的位置提前，在数据进入应用体系之前进行加密狗。这种加密狗体例可以控制应用体系的用户对数据的访问权限，并且真实数据对所稀有据库用户都是不可见的，是最安全的一种加密狗体例。事实上，这种加密狗体例与详细的数据库无关，是对立与数据库的。但是因为应用体系的复杂性，实现的难度也较大。

总之，数据被加密狗的位置离用户越近，安全性越高，同时实现的难度也越大。以上所述的几种加密狗体例，数据加密狗的位置离用户是渐渐靠近的，防护能力也是渐渐提拔的。

目前国内数据库安全市场主流的数据库加密狗体例是库内扩展加密狗，本文中，假如没有分外指出，都特指这种加密狗体例。

数据库加密狗能解决哪些详细题目?

数据库加密狗能够通过有用的解决如下题目，来提拔数据库的安全性：

1) 防止数据库文件被下载或者复制、以及直接分析数据文件导致的数据走漏和破坏。因为敏感数据被加密狗，任何直接对数据库文件进行分析的攻击体例，都只能看到密文。

2) 防止DBA或高权限帐号密码泄漏导致的数据走漏和破坏。DBA或者高权限账号被攻击者获取后，虽然攻击者能够得到数据库中的悉数数据，但是因为敏感数据是被加密狗的，所以仍然不能获得明文。或者攻击者试图修改授权用户的访问密码进行身份伪造攻击，但是加密狗体系额外的身份认证机制能够对这种伪造身份进行识别，致使攻击者仍然无法获取真实数据。

3) 部分的防止SQL注入体例拖库走漏全库数据和数据破坏。SQL注入攻击者通过拖库获取悉数数据库内容，但是只能获取到攻击时所使用的用户所对应的明文权限百度网站优化，对于该用户不具有权限的敏感数据，攻击者仍然不能访问。

4) 实现多因子身份认证和授权，填补仅由口令验证体例安全性不足的缺陷。可以增长对应用体系、时间、IP地址、用户名等多种因子的身份认证和授权管理。

数据库加密狗不能解决什么题目?

虽然数据库透明加密狗能够明显的提拔数据库的安全性，但是并不能解决所有的数据库安全题目：

1) 不能完全阻止SQL注入攻击。SQL注入攻击者假如使用应用体系访问数据库的授权用户对数据库提议攻击，则能够获得加密狗体系对该用户的响应授权，能够访问到该授权项下的敏感数据。

2) 不能完全阻止攻击者伪造身份对数据库的攻击。当攻击者通过社交工程西安人事考试，完全窃取并伪造了具有对敏感数据正当访问权限的用户的帐号、密码、以及应用体系、IP信息时，数据库加密狗将不能对其访问进行限定。

3) 不能完全阻止授权应用体系后门程序对数据库的违规访问。当应用体系被授权访问敏感数据，但是被开发者留有后门时，数据库加密狗体系并不能识别这种后门并加以阻止。