SQL Server 2008的透明数据加密(一)_MySQL

SQLServer2008

对一个数据库管理员来说，当要保护你所支持的数据库时，安全是要考虑的最重要方面之一。我们使用多种机制和技术来保护我们的数据和数据库，例如防火墙、认证和数据加密。不过尽管我们为我们的环境设置了安全，但是关于数据库安全还总是有问题出现。尽管我们在保护我们的数据库，但是如果有人窃取mdf 文件或备份文件那么会怎么样呢?但是在SQL Server 2008之前没有什么方法来使用第三方解决方案控制这种场景也没有什么本地方法来处理这个问题。SQL Server 2008推出了一个新的特性来保护数据库，它叫做透明数据加密(Transparent Data Encryption)——TDE，它对整个数据库提供了保护。这篇文章的内容包括：
什么是透明数据加密?

TDE的执行。

我的数据库现在是安全的吗?

在激活TDE之前需要考虑什么?

当激活TDE之后会影响什么?

什么是透明数据加密?

Microsoft SQL Server 2008推出了另一个级别的加密——透明数据加密。TDE是全数据库级别的加密，它不局限于字段和记录，而是保护数据文件和日志文件的。在一个数据库上的TDE执行对于连接到所选数据库的应用程序来说是非常简单而透明的。它不需要对现有应用程序做任何改变。这个保护是应用于数据文件和日志文件以及备份文件的。一旦在一个数据库上激活了TDE，备份恢复到另一个SQL Server实例或附加数据文件到另一个SQL Server实例上去将是不允许的，除非用来保护数据库加密密钥(DEK)的证书是可用的。

TDE的加密特性是应用于页面级别的。一旦激活了，页面就会在它们写到磁盘之前加密，在读取到内存之前解密。有一点一定要记住，那就是SQL Server和客户端应用程序之间的通信渠道没有通过TDE来保护和加密。

下图显示了SQL Server怎样使用TDE加密一个数据库：

透明数据加密使用一个数据加密密钥(DEK)用于加密数据库，它存储在数据库启动记录中。DEK由一个存储在主数据库中的证书来保护。可选的，DEK可以由一个放置在硬件安全模块(HSM)中的非对称密钥以及外部密钥管理(EKM)的支持来保护。证书的私钥由对称密钥的数据库主密钥来加密，它通常由一个强密码来保护。注意，尽管这个证书可以由一个密码来保护，但是TDE要求这个证书由数据库主密钥来保护。数据库主密钥由服务主密钥来保护，而服务主密钥由数据保护API来保护。

 TDE的执行

如同上面所提到的，TDE的执行相对简单。下面是一个示例脚本，它使得在一个叫做TestDatabase的数据库上激活了TDE。　

-- If the master key is not available, create it.
USE master;
GO
IF NOT EXISTS (SELECT * FROM sys.symmetric_keys WHERE name LIKE '%MS_DatabaseMasterKey%')
BEGIN
        CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'Pa$w0rd4545';
END
GO
-- Create the certificate in the master database.
USE master;
GO
-- Since ENCRYPTION BY PASSWORD is not mentioned, the private key of the certificate
-- will be encrypted by database master key created above.
IF NOT EXISTS (SELECT * FROM sys.certificates WHERE name LIKE '%DEKCertificate%')
BEGIN
        CREATE CERTIFICATE DEKCertificate WITH SUBJECT = 'DEK Certificate'
END
GO
-- Create Database Encryption Key (DEK) in the user database
USE TestDatabase
GO
IF NOT EXISTS (SELECT * FROM sys.dm_database_encryption_keys WHERE database_id = DB_ID('TestDatabase'))
BEGIN      
        CREATE DATABASE ENCRYPTION KEY
        WITH ALGORITHM = AES_128
        ENCRYPTION BY SERVER CERTIFICATE DEKCertificate
END
GO
-- Check whether the key is created
SELECT DB_NAME(database_id) AS DatabaseName, * FROM sys.dm_database_encryption_keys
-- This should return one row (or more if DEKs have been generated in other databases)
-- with the encryption_state of 1 (1 = unencrypted).
-- Set the DEK on in the TestDatabase.
ALTER DATABASE TestDatabase
SET ENCRYPTION ON
GO
-- Check whether the encryption_state is changed to 3. It should be.
SELECT DB_NAME(database_id) AS DatabaseName, * FROM sys.dm_database_encryption_keys

前两个步骤显示了怎样创建主数据库中的数据库主密钥和证书。注意，ENCRYPTION BY PASSWORD 不是由CREATE CERTIFICATE 来指定，因此自签名的证书的私钥将由数据库主密钥来保护。下一步显示了在TestDatabase中创建DEK的方法。执行这个代码。它添加了DEK到TestDatabase。如果这个证书的私钥由一个密码保护，那么你将获得如下所示的错误信息：

Msg 33101, Level 16, State 1, Line 4

不能使用证书“DEKCertificateTest”，因为它的私钥没有显示出来或者它不是由数据库主密钥来保护的。SQL Server 需要自动访问这个操作所使用证书的私钥的能力。

sys.dm_database_encryption_keys 使你可以看到DEK被添加到服务器上。字段encryption_state 表示DEK是处于下面的哪个状态：没有加密、加密中、已加密、密钥改变中、和解密中，这些各自对应1、2、3、4、和5这几个数值。当你在设置ENCRYPTION之前运行DMV时，这个状态将显示为1，如果设置了，这个状态将显示为3。完成了。现在TestDatabase 已经是完全安全的了。

我的数据库现在是安全的吗?

尽管我们成功地使得在我们的数据库上激活了TDE，但是我们还需要确保它在所有级别都是安全的。我们将在这方面做两个测试。首先，我们将备份这个数据库并尝试恢复这个备份到另一个SQL Server 2008实例上去。这个恢复操作一定会失败的，除非这个证书用于保护DEK的私钥是可用于主数据库的。第二，我们将尝试在另一个实例中附加TestDatabase的mdf和ldf文件。它应该也不能起作用。这是用于测试的代码：

-- First step is backing up the TestDatabase.
BACKUP DATABASE [TestDatabase]
TO DISK = N'E:/TestDatabaseFull.bak'
WITH NOFORMAT, NOINIT, NAME = N'TestDatabase-Full Database Backup'
GO
-- Now connect with another SQL Server 2008 instance.
-- Try to restore the backup we have taken, in the new instance.
-- This statement should be failed.
RESTORE DATABASE [TestDatabase]
FROM DISK = N'E:/TestDatabaseFull.bak'
WITH FILE = 1,
MOVE N'TestDatabase' TO N'D:/Program Files/Microsoft SQL Server/MSSQL10.MSSQLSERVER/MSSQL/DATA/TestDatabase.mdf',
MOVE N'TestDatabase_log' TO N'D:/Program Files/Microsoft SQL Server/MSSQL10.MSSQLSERVER/MSSQL/DATA/TestDatabase_log.ldf',
NOUNLOAD, STATS = 10
GO

第一个步骤备份了这个数据库。第二部分需要运行在一个不同的SQL Server 2008实例上。当你尝试在一个不同的SQL Server 2008实例中恢复这个备份时，你将得到一个类似于下面所示的错误信息：

10 percent processed.
20 percent processed.
31 percent processed.
41 percent processed.
52 percent processed.
62 percent processed.
73 percent processed.
83 percent processed.
94 percent processed.
100 percent processed.
Msg 33111, Level 16, State 3, Line 1
Cannot find server certificate with thumbprint '0x8AD8C0A89476752FCC3D7A7005A2DCF546C38C58'.
Msg 3013, Level 16, State 1, Line 1
RESTORE DATABASE is terminating abnormally.

当你尝试将这个数据库附加到另一个实例中去时你将面对相同的问题。　

USE [master]
GO
CREATE DATABASE [TestDatabase] ON
( FILENAME = N'D:/Test/TestDatabase.mdf'),
( FILENAME = N'D:/Test/TestDatabase_log.ldf')
FOR ATTACH
GO