隨著計(jì)算機(jī)網(wǎng)絡(luò)的迅猛發(fā)展，在各個(gè)領(lǐng)域的應(yīng)用日益深入和廣泛，電力企業(yè)數(shù)據(jù)庫(kù)已不再是只存在于可靠性高的網(wǎng)絡(luò)中,慢慢地，數(shù)據(jù)庫(kù)與多個(gè)應(yīng)用相連接，其間網(wǎng)絡(luò)多是不可靠的口數(shù)據(jù)庫(kù)中的數(shù)據(jù)是企業(yè)的生命血液，存效的信息既重要又廣泛，對(duì)數(shù)據(jù)庫(kù)的非授權(quán)訪問引起了人們的關(guān)注，產(chǎn)生了新的難題。IT和安全管理員已相繼配置了安全策略和技術(shù)，但很少企業(yè)能足以抵御攻擊，保護(hù)自己的數(shù)據(jù)庫(kù)口面對(duì)不斷增長(zhǎng)的風(fēng)險(xiǎn)，國(guó)家制定了相關(guān)的行業(yè)法規(guī)。同時(shí)隱私權(quán)保護(hù)、數(shù)據(jù)保護(hù)以及重要信息的長(zhǎng)期存儲(chǔ)和歸檔隱患，電力企業(yè)需要保證他們的數(shù)據(jù)保護(hù)上處于不斷改進(jìn)中。

一、現(xiàn)有數(shù)據(jù)庫(kù)加密技術(shù)分析

面對(duì)電力企業(yè)需求變更的業(yè)務(wù)壓力，越來越多的企業(yè)需要在標(biāo)準(zhǔn)數(shù)據(jù)庫(kù)包的安全控制之外仍然取得一定級(jí)別的數(shù)據(jù)庫(kù)安全性，當(dāng)前緊迫問題是如何最好地實(shí)現(xiàn)這一點(diǎn)？怎樣配置訪問控制，如何加密以實(shí)現(xiàn)嚴(yán)格的安全策略，而不影響到日常的數(shù)據(jù)庫(kù)操作？

經(jīng)過近幾年的研究，我國(guó)數(shù)據(jù)庫(kù)加密技術(shù)已經(jīng)比較成熟。加密/解密可以配置在應(yīng)用程序，或數(shù)據(jù)庫(kù)中，或文件系統(tǒng)上。

1、一個(gè)行之有效的數(shù)據(jù)庫(kù)加密技術(shù)主要有以下6個(gè)方面的功能和特性。

（1）身份認(rèn)證

用戶除提供用戶名、口令外，還必須按照系統(tǒng)安全要求提供其它相關(guān)安全憑證。如使用終端密鑰。

（2）通信加密與完整性保護(hù)

有關(guān)數(shù)據(jù)庫(kù)的訪問在網(wǎng)絡(luò)傳輸中都被加密，通信一次一密的意義在于防重放、防篡改。

（3）數(shù)據(jù)庫(kù)數(shù)據(jù)存儲(chǔ)加密與完整性保護(hù)

數(shù)據(jù)庫(kù)系統(tǒng)采用數(shù)據(jù)項(xiàng)級(jí)存儲(chǔ)加密，即數(shù)據(jù)庫(kù)中不同的記錄、每條記錄的不同字段都采用不同的密鑰加密，輔以校驗(yàn)措施來保證數(shù)據(jù)庫(kù)數(shù)據(jù)存儲(chǔ)的保密性和完整性，防止數(shù)據(jù)的非授權(quán)訪問和修改。

（4）數(shù)據(jù)庫(kù)加密設(shè)置

系統(tǒng)中可以選擇需要加密的數(shù)據(jù)庫(kù)列，以便于用戶選擇那些敏感信息進(jìn)行加密而不是全部數(shù)據(jù)都加密。只對(duì)用戶的敏感數(shù)據(jù)加密可以提高數(shù)據(jù)庫(kù)訪問速度。這樣有利于用戶在效率與安全性之間進(jìn)行自主選擇。

（5）多級(jí)密鑰管理模式

主密鑰和主密鑰變量保存在安全區(qū)域，二級(jí)密鑰受主密鑰變量加密保護(hù)，數(shù)據(jù)加密的密鑰存儲(chǔ)或傳輸時(shí)利用二級(jí)密鑰加密保護(hù)，使用時(shí)受主密鑰保護(hù)。

（6）安全備份

系統(tǒng)提供數(shù)據(jù)庫(kù)明文備份功能和密鑰備份功能。

2、對(duì)數(shù)據(jù)庫(kù)加密系統(tǒng)基本要求

（1）字段加密；

（2）密鑰動(dòng)態(tài)管理；

（3）合理處理數(shù)據(jù)；

（4）不影響合法用戶的操作；

（5）防止非法拷貝；

3、數(shù)據(jù)庫(kù)加密的方式

通常，三層構(gòu)架下的應(yīng)用系統(tǒng)數(shù)據(jù)進(jìn)行加密，主要有三種方式：客戶端加密、應(yīng)用層（DBMS外層）加密、數(shù)據(jù)庫(kù)層（DBMS內(nèi)核層）加密。

客戶端加密：B/S模式下主要利用網(wǎng)頁(yè)編程或者控件的方式加密，但如果涉及在服務(wù)器端數(shù)據(jù)運(yùn)算的話必須在服務(wù)器端解密后進(jìn)行，也就是說必須配合應(yīng)用層或者數(shù)據(jù)庫(kù)層加密實(shí)現(xiàn)，優(yōu)點(diǎn)是網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)已被加密。

應(yīng)用層加密：通過應(yīng)用編程或應(yīng)用中間件平臺(tái)采用加密算法對(duì)數(shù)據(jù)加密，優(yōu)點(diǎn)是實(shí)現(xiàn)簡(jiǎn)單，且不占用數(shù)據(jù)庫(kù)服務(wù)器資源。

數(shù)據(jù)庫(kù)層加密：通過DBMS自身的加密功能或者借助第三方數(shù)據(jù)庫(kù)加密中間件進(jìn)行，一般都采用后者進(jìn)行。因?yàn)閷I(yè)性較強(qiáng)，都應(yīng)用了國(guó)際國(guó)內(nèi)標(biāo)準(zhǔn)加密算法，并且能對(duì)數(shù)據(jù)庫(kù)用戶、IP地址、訪問時(shí)間等因素進(jìn)行控制。功能強(qiáng)大，對(duì)應(yīng)用完全透明。但仍有一定局限性，對(duì)避免網(wǎng)絡(luò)層和應(yīng)用層的數(shù)據(jù)泄露無(wú)能為力。

二、數(shù)據(jù)庫(kù)多層加密技術(shù)分析

一般情況下，這三種加密方式除了客戶端加密的數(shù)據(jù)需要服務(wù)器端解密計(jì)算的情況，基本可實(shí)現(xiàn)互不干擾同時(shí)進(jìn)行，也就是說能實(shí)現(xiàn)多層的同時(shí)加密。在這樣的情況下，三種方式各自的不足也可以得到彌補(bǔ)。

三、數(shù)據(jù)庫(kù)多層加密的應(yīng)用

下面，以電力企業(yè)某管理信息系統(tǒng)為例，對(duì)多層加密的實(shí)現(xiàn)進(jìn)行討論。

該系統(tǒng)是一個(gè)標(biāo)準(zhǔn)的三層構(gòu)架應(yīng)用系統(tǒng)，含有多個(gè)子功能模塊，其中一個(gè)模塊的數(shù)據(jù)需要加密，由于需要進(jìn)行數(shù)據(jù)運(yùn)算，所以沒有在客戶端進(jìn)行加密，而是加強(qiáng)了準(zhǔn)入控制，登陸必須使用PKI/CA數(shù)字證書。因此，加密方式采取了數(shù)據(jù)庫(kù)層與應(yīng)用層兩層分別加密。最后儲(chǔ)存在數(shù)據(jù)庫(kù)表中的是經(jīng)過兩次加密的數(shù)據(jù)。

1、應(yīng)用層加密的實(shí)現(xiàn)

通過編程集成加密算法在應(yīng)用服務(wù)器端實(shí)現(xiàn)，然后以密文的形式傳遞給數(shù)據(jù)庫(kù)存儲(chǔ)。這也是第一層的加密。

2、數(shù)據(jù)庫(kù)加密部署

采用數(shù)據(jù)庫(kù)安全中間件對(duì)雙機(jī)數(shù)據(jù)庫(kù)服務(wù)器進(jìn)行部署，也是第二層的加密，方案簡(jiǎn)介如下：

數(shù)據(jù)庫(kù)運(yùn)行的方式采用Oracle RAC的雙節(jié)點(diǎn)方式，Oracle數(shù)據(jù)庫(kù)安裝在共享的磁盤陣列柜上。兩臺(tái)主機(jī)同時(shí)運(yùn)行兩個(gè)數(shù)據(jù)庫(kù)實(shí)例，本實(shí)施方案將利用數(shù)據(jù)庫(kù)安全管理系統(tǒng)自身的冗余設(shè)計(jì)實(shí)現(xiàn)與雙機(jī)同步的運(yùn)行方式。數(shù)據(jù)庫(kù)安全管理系統(tǒng)的加密、解密操作由安裝在數(shù)據(jù)庫(kù)上的代理程序完成，安全管理服務(wù)器為本地節(jié)點(diǎn)的數(shù)據(jù)庫(kù)實(shí)例提供密鑰、策略和臨時(shí)存儲(chǔ)日志。

3、安全方案

（1）限制訪問IP地址為應(yīng)用服務(wù)器。

（2）限制數(shù)據(jù)庫(kù)訪問用戶為應(yīng)用服務(wù)器JDBC訪問用戶，別的用戶一概不能訪問，包括DBA權(quán)限用戶看到的也只能是密文。

（3）打開審計(jì)功能，對(duì)所有訪問進(jìn)行記錄。

通過以上部署。系統(tǒng)管理員、數(shù)據(jù)庫(kù)管理員在內(nèi)的無(wú)關(guān)人員都不能見到明文，同時(shí)，通過應(yīng)用服務(wù)器以外的服務(wù)器訪問即便獲取了授權(quán)用戶的用戶名密碼，也看不到明文。即使黑客竊取了數(shù)據(jù)庫(kù)中的數(shù)據(jù)，仍然難以得到所需的信息．大大提高了數(shù)據(jù)的安全性。

admin

收藏 海報(bào)分享