雲端資料庫加密要注意什麼問題

雲端資料庫加密

***件事需要考慮加密資料的必要性。所有的資料庫都具有限制存取的功能。某些合適的實作已經足以保護資料機密性。

其他需要透過加密來保護儲存在資料庫中的資料的因素有：對資料庫的特權使用者(如資料庫管理員)隱藏資料;為了遵守法律法規，資料擁有者不能透過帳戶來控制對資料的存取(如使用共享帳戶)。

當使用雲端資料庫，特別是用到了資料庫的SaaS解決方案時，資料庫的正常功能將會降低，迫使資料庫或雲端應用程式能存取金鑰，除非能在密文上操作。

資料加密會帶來複雜度和效能上的成本。除了加密之外，還有一些別的有效方法：

◆使用物件安全。使用SQL準許及廢除聲明去約束帳戶存取這些資料。僅允許授權使用者訪問，必須在這些帳戶中嚴格進行控制。

◆儲存安全雜湊值。相對於直接儲存數據，將這些數據的雜湊值儲存起來可以讓企業的程式證明持有者擁有正確的值，而無需實際儲存數據。

金鑰管理

在公有雲運算中一個很困難的過程就是金鑰管理，公有雲中的多租用戶模型造成其上運行的過程需要考慮密鑰管理問題。

一個簡單的應用案例是，在公有雲中有應用程式運行時，加密資料會從企業內部傳輸到公有雲中，而金鑰只會供企業內部使用。有的加密引擎能夠在資料流出時加密，在資料流入時解密。當公有雲上的其他處理過程(例如批次)需要存取金鑰去解密資料時，一個使用金鑰的應用程式將變得複雜。

在企業中，使用者應該擁有自己獨立的金鑰，而不是使用一個針對整個企業可用的共用金鑰。為每個使用者或實體指派（或管理）一個金鑰，可採用基於實體身分資訊的加密引擎來實現，這是解決問題最簡單的方法。以這種方式，為一個實體特別加密的任何資訊都將為那一實體所維護。如果一個群體內的實體需要共享數據，那麼可以為管理群體存取的應用程式分配一個群體層級密鑰，並在群體內的實體間共享密鑰。密鑰在企業內部應該像這一部分前面討論的那樣進行管理。

當資料儲存在公有雲環境中，在停用此環境時，證明所有資料(尤其是PII或SPI資料或隸屬於法律法規的資料)已經從公有雲環境中刪去，包括其他媒體如複製盤等，將存在問題;維護當地金鑰管理能夠從金鑰管理系統中廢除(或刪除或遺失)金鑰，以確保任何資料殘留在公有雲的資料不能被解密，來提供此保證。

如果雲端服務提供者和使用者缺乏有效的金鑰管理流程，資料加密將不具備很大的價值。 在服務提供方，需要關注的因素包括：伺服器擁有加密的數據，同時存取密鑰伺服器缺少職責劃分;資料庫管理員能存取個人密鑰;或資料庫服務架構依賴單一密鑰。

使用金鑰加密金鑰，在記憶體中產生加密金鑰，以及只儲存金鑰伺服器的加密金鑰，都是能控制和保護金鑰本身的有效的架構解決方案。建立任何解決方案時都應該考慮這些。 客戶端金鑰管理，在本身並不安全的設備(如行動終端)上保護金鑰，或此設備沒有得到同等程度的控制，都是需要考慮的因素。

實務中的具體建議

在企業應用的具體實務中，可以遵循以下一些有益的建議：

◆當使用任何形式的加密或解密產品時，應用***的金鑰管理措施;

◆如有可能，應該使用可信任來源中現成的技術，以得到***實踐;

◆使用***的金鑰管理實踐，取得技術和產品用於加密、解密、簽署，並從可信任來源中核實;

◆尤其建議組織維護自己的金鑰或使用已經運作這種服務的可信任密碼服務;

◆如果一個組織需要使用存在雲中的資料運行分析或其他的處理，這個組織應該基於一個平台如Hadoop開發，從雲端中的資料來源中匯出資料;

◆金鑰的管轄範圍能在個人或集體層級維護;

◆集體存取的管理可以使用現成的技術，如DRM系統，或其他運行在桌面或筆記本上，用以加密硬碟、文件和email訊息的軟體;

◆為了維護***的實踐措施和通過審計，企業應該自己管理他們的金鑰，或者使用來自於加密軟體供應商那裡的可信任服務;

◆現有加密技術中使用的金鑰如DRM和硬碟加密產品應該在企業內部，使用金鑰儲存技術來集中管理;硬體安全調變應該用於儲存金鑰，以及處理加密操作如加解密、簽章和修改等;

◆企業用戶應該透過註冊步驟去啟用企業中的加密操作和其他處理，如能根據需要來存取加/解密鑰的內容感知或保格式加密系統;

◆基於所有身分認證的元件，將技術部署整合進公司係統，在處理流程中做授權決定使用捆綁加密作業來管理加解密過程的金鑰;

◆如有可能，使用現有的系統如E-DRM或資料防外洩(DLP);

◆將加密操作和金鑰管理捆綁到公司的身份認證系統上，為組織提供***靈活度的整合，以及使用組織已經了解、審計過的或檢驗過的技術。

◆另外，對於雲端資料庫的加密，可以參考以下實踐建議：

◆使用標準演算法。不要使用專用的不規範的技術，專用加密演算法沒有被證明且容易被攻破;

◆避免使用舊的不安全的加密標準如資料加密標準(DES);

◆使用對象安全。即使加密，也應該始終使用基本物件安全性（包括SQL允許和廢除宣告），來防止資料的存取

◆不要加密主鍵或索引列。如果加密主鍵，將必須加密所有的參考外部鍵。查詢資料將會變得緩慢，如果企業在過去使用了加密數值並且現在將索引列進行加密

◆使用柱狀的方法去加密(因為大資料系統使用這種方式)。

以上是雲端資料庫加密要注意什麼問題的詳細內容。更多資訊請關注PHP中文網其他相關文章！