SQL_Server_2008数据加密技术[4]

1、SQLServer2005数据加密技术应用研究发布日期：2007-2-2817:47:00发布者：IT电子教育门户评论：0浏览：687数据加密是SQLServer2005新增的数据安全特性，这对应用程序开发者来说是非常重要的改进。本文从程序开发者角度，探讨SQLServer2005数据加密特性以及如何运用该特性保证系统的数据安全。SQLServer2005是微软开始实施其“可信赖计算”计划以来的第一个主要的产品，它提供了丰富的安全特性，为企业数据提供安全保障。对开发人员来说，最关注的是如何在程序设计过程中应用这些特性来保护数据库中的数据安全。本文将从应用程序开发者角度探讨基于SQLServer

2、2005数据加密特性的应用。SQLServer2005数据加密技术数据用数字方式存储在服务器中并非万无一失。实践证明有太多的方法可以智取SQLServer2000认证保护，最简单的是通过使用没有口令的sa账号。尽管SQLServer2005远比它以前的版本安全，但攻击者还是有可能获得存储的数据。因此，数据加密成为更彻底的数据保护战略，即使攻击者得以存取数据，还不得不解密，因而对数据增加了一层保护。SQLServer2000以前的版本没有内置数据加密功能，若要在SQLServer2000中进行数据加密，不得不买第三家产品，然后在服务器外部作COM调用或者是在数据送服务器之前在客户端的应用中执行加

3、密。这意味着加密的密钥或证书不得不由加密者自己负责保护，而保护密钥是数据加密中最难的事，所以即使很多应用中数据已被很强的加密过，数据保护仍然很弱。SQLServer2005通过将数据加密作为数据库的内在特性解决了这个问题。它除了提供多层次的密钥和丰富的加密算法外，最大的好处是用户可以选择数据服务器管理密钥。SQLServer2005服务器支持的加密算法如下：对称式加密(SymmetricKeyEncryption)：对称式加密方式对加密和解密使用相同的密钥。通常，这种加密方式在应用中难以实施，因为用同一种安全方式共享密钥很难。但当数据储存在SQLServer中时，这种方式很理想，你可以让服务器

4、管理它。SQLServer2005提供RC4、RC2、DES和AES系列加密算法。非对称密钥加密(AsymmetricKeyEncryption)：非对称密钥加密使用一组公共/私人密钥系统，加密时使用一种密钥，解密时使用另一种密钥。公共密钥可以广泛的共享和透露。当需要用加密方式向服务器外部传送数据时，这种加密方式更方便oSQLServer2005支持RSA加密算法以及512位、1,024位和2,048位的密钥强度。数字证书(Certificate)：数字证书是一种非对称密钥加密，但是，一个组织可以使用证书并通过数字签名将一组公钥和私钥与其拥有者相关联。SQLServer2005支持“因特网工程

5、工作组”(IETF)X.509版本3(X.509v3)规范。一个组织可以对SQLServer2005使用外部生成的证书，或者可以使用SQLServer2005生成证书。SQLServer2005采用多级密钥来保护它内部的密钥和数据，如下图所示:图1SQLServer2005采用多级密钥保护它内部的密钥和数据图中引出箭头的密钥或服务用于保护箭头所指的密钥。所以服务主密钥(servicemasterkey)保护数据库主密钥(databasemasterkeys)，而数据库主密钥又保护证书(certificates)和非对称密钥(asymmetrickeys)。而最底层的对称性密钥(symmetri

6、ckeys)被证书、非对称密钥或其他的对称性密钥保护(箭头又指回它本身)。用户只需通过提供密码来保护这一系列的密钥。图中顶层的服务主密钥，安装SQLServer2005新实例时自动产生和安装，用户不能删除此密钥，但数据库管理员能对它进行基本的维护，如备份该密钥到一个加密文件，当其危及到安全时更新它，恢复它。服务主密钥由DPAPI(DataProtectionAPI)管理。DPAPI在Windows2000中引入，建立于Windows的Crypt32API之上。SQLServer2005管理与DPAPI的接口。服务主密钥本身是对称式加密，用来加密服务器中的数据库主密钥。数据库主密钥与服务主密钥不

7、同，在加密数据库中数据之前，必须由数据库管理员创建数据库主密钥。通常管理员在产生该密钥时，提供一个口令，所以它用口令和服务主密钥来加密。如果有足够的权限，用户可以在需要时显式地或自动地打开该密钥。下面是产生数据库主密钥的T-SQL代码示例：USEEncryptionDBCREATEMASTERKEYENCRYPTIONBYPASSWORD=UTY6%djzZ8S7RyL每个数据库只有一个数据库主密钥。可以用ALTERMASTRKEY语句来删除加密，更改口令或删除数据库主密钥。通常这由数据库管理员来负责做这些。有了数据库主密钥，就可以着手加密数据。T-SQL有置于其内的加密支持。使用CREATE

8、语句创建各种密码，ALTER语句修改他们。例如要创建对称式加密，可以通过一对函数EncryptByKey和DecryptByKey来完成。数据加密技术应用解析下面通过实例来探讨SQLServer2005数据加密与解密技术的实现。假设有一张Customer表，表中有字段customerID、name、city和各种信用卡细节。其中信用卡细节需要加密而其他数据不需要。假设Userl有对称式密钥，并用该密钥登录，运行相应的代码加密数据。数据加密产生密钥：在含有Customers表的数据库中使用TripleDES作为加密算法，生成对称式密钥。本例中，密钥本身由已经存在在数据库中的证书保护，如图一所示，

9、对称密码受非对称密码和存在的其他对称式密钥保护。CREATESYMMETRICKEYUser1SymmetricKeyCertAUTHORIZATIONUser1WITHALGORITHM=TRIPLE_DESENCRYPTIONBYCERTIFICATEUser1Certificate打开密钥：对称式密钥使用前必须显式打开，所以接下来打开它，重新找回密码，解密它，并放它在受保护的服务器内存中，准备使用。OPENSYMMETRICKEYUser1SymmetricKeyCertDECRYPTIONBYCERTIFICATEUser1Certificate加密数据：在下面的代码中，使用正常的T-

10、SQLINSERT语句将一行数据插入表中，id、name和city用明文保存，信用卡类型、号码以及有潜在机密的客户注释用加密方式储存，用TripleDES加密算法加密数据。INSERTINTOCustomerVALUES(4,JohnDoe,Fairbanks,EncryptByKey(Key_GUID(User1SymmetricKeyCert),Amex),EncryptByKey(Key_GUID(User1SymmetricKeyCert),1234-5678-9009-8765),EncryptByKey(Key_GUID(User1SymmetricKeyCert),Windows

11、hopper.Spends$5atmost.)加密完成后，关闭它，释放内存，以防它被误用。CLOSESYMMETRICKEYUser1SymmetricKeyCert以上是整个的数据加密的操作过程。它没有混乱的密码管理，也不用调用特别的算法。储存加密数据的字段是varbinary类型数据，其长度足以储存扩展的数据(加密数据比明文需要更多的空间，有时候多很多)。下图为对Customer表运行正常的SELECT*语句显示的带有加密数据的结果:.Name顷CtZi-Cdldl-Uiibri|Ncfles4jDg(MMJECCF&FJ图2加密后的数据的查询结果数据解密要解密已加密的数据，你需要重新打开

12、对称式加密。使用DecryptByKey函数读数据，然后关闭对称式加密。结果及相应的代码如下。OPENSYMMETRICKEYUserlSymmetricKeyCertDECRYPTIONBYCERTIFICATEUser1CertificateSELECTCustID,Name,City,CONVERT(VARCHAR,DecryptByKey(CreditCardType)ASCardType,CONVERT(VARCHAR,DecryptByKey(CreditCardNumber)ASCardNumber,CONVERT(VARCHAR,DecryptByKey(Notes)ASNot

13、esFROMCustomerWHERECustID=4CLOSESYMMETRICKEYUser1SymmetricKeyCert图3对加密数据进行解密后的结果这个例子显示了让SQLServer2005为你管理密钥的一种方法。但实际上，用户总是选择自己提供一个口令的方式，用RC4算法产生对称密码。代码如下：CREATESYMMETRICKEYUser2SymmetricKeyPwdAUTHORIZATIONUser2WITHALGORITHM=RC4ENCRYPTIONBYPASSWORD=sdylvxF&imeG3FPSQLServer2005产生一个基于用户提供的口令的密钥来加密数据。除非明确指定，否则口令不保存在SQLServer2005中，用户必须保护好自己的口