EKM加强SQL Server 2008密钥管理能力

EKM(Extensible Key Management)即“可扩展密钥管理”，这是SQL Server 2008的新增功能之一。该功能增强了SQL Server 2008的密钥管理能力，它允许将密钥存储在数据库之外，这对于提升数据库安全非常重要。本文将对EKM的相关技术进行解析。 1、为什么要增加EK

　　EKM(Extensible Key Management)即“可扩展密钥管理”，这是SQL Server 2008的新增功能之一。该功能增强了SQL Server 2008的密钥管理能力，它允许将密钥存储在之外，这对于提升安全非常重要。本文将对EKM的相关技术进行解析。

　　1、为什么要增加EKM功能?

我们知道，为防止数据库和日志文件被无权限的人访问或黑客攻击，加密是一种很重要的手段。此前的SQL Server自带的数据加密功能可以加密文件，但它将密钥存储在SQL Server中，这带来了安全隐患。

　　SQL Server 2005并不允许在本地SQL Server 2005加密环境中使用第三方的密钥或密钥管理程序。这样，如果公司在其它应用中使用第三方加密产品对数据进行了加密，而你却不能用这个产品对SOL Server的数据进行加密或管理SQL Server的密钥，这是相当麻烦的。

　　EKM弥补了这个弱点，它允许密钥存储在数据库之外，包括特殊的硬件(例如智能卡、USB设备)或被称为硬件安全模块(Hardware Security Modules，HSM)的软件模块中。因此，在SQL Server 2008中引入EKM是非常实用的。

　　2、将密钥存储在HSM中

　　EKM功能在SQL Server 2008的企业版、开发版、评估版中都可用，它允许密钥存储在数据库之外的HSM中，与加密数据分开存储。

　　把密钥存储在HSM中可以防止它们被数据库所有者和其他高级别数据库用户访问，因为这些用户没有权限访问存储密钥的HSM。只有那些在加密解密过程中拥有HSM设备权限的最终用户，才能用这些密钥加密新数据或查看现有巳加密数据(需要注意的是：如果HSM 设备没有使用过，sysadmin用户组的成员仍然可以访问密钥)。如果要让用户可以使用第三方的HSM，需要在SQL Server 2008的EKM中将这些第三方厂商的EKM/HSM模块注册到SOL Server 2008中。