XX數(shù)據(jù)庫加密與訪問控制

產(chǎn)品方案背景需求產(chǎn)品方案應(yīng)用案例目錄contents010203傳統(tǒng)前置安全技術(shù)手段存在被繞過的風(fēng)險(xiǎn)3

目前傳統(tǒng)的安全防護(hù)手段主要以網(wǎng)關(guān)式訪問控制和旁路審計(jì)兩大模式為主，從理論上講都無法排除被繞過的風(fēng)險(xiǎn)。包括因傳統(tǒng)安全手段自身缺陷導(dǎo)致的無效防御和惡意攻擊穿透，以及內(nèi)部高權(quán)限用戶直連數(shù)據(jù)庫或直接對(duì)數(shù)據(jù)庫文件進(jìn)行讀取等手段。而數(shù)據(jù)庫加密可提供理論上無法被繞過安全防御。Internet明文數(shù)據(jù)庫黑客普通運(yùn)維User交換機(jī)數(shù)據(jù)庫防火墻旁路審計(jì)防火墻/IDS/IPS鏡像流量DBA/高權(quán)限繞過安全/直連數(shù)據(jù)庫漏審放行/惡意攻擊穿透密文數(shù)據(jù)庫加密是數(shù)據(jù)安全的最后一道防線正常訪問正常訪問數(shù)據(jù)庫加密主要解決的問題4數(shù)據(jù)庫加密通過建立第三方獨(dú)立的權(quán)限和訪問控制系統(tǒng)，可以有效解決因DBA等高權(quán)限賬號(hào)密碼泄露所導(dǎo)致的數(shù)據(jù)泄露問題，同時(shí)也可防止因外部APT攻擊或內(nèi)部管理失當(dāng)導(dǎo)致的數(shù)據(jù)庫文件被下載、復(fù)制等數(shù)據(jù)泄露風(fēng)險(xiǎn)，大大提升數(shù)據(jù)庫安全性。數(shù)據(jù)庫文件泄露高權(quán)限賬號(hào)泄露系統(tǒng)訪問控制數(shù)據(jù)庫加密APT攻擊：拖庫DBA或者高權(quán)限賬號(hào)被攻擊者獲取后，雖然能夠得到數(shù)據(jù)庫中的全部數(shù)據(jù)，但無法獲得明文。SQL注入攻擊者通過拖庫獲取全部數(shù)據(jù)庫內(nèi)容，但是只能獲取到攻擊時(shí)所使用的用戶所對(duì)應(yīng)的明文權(quán)限，敏感數(shù)據(jù)仍為密文。密文存儲(chǔ)，可有效防止數(shù)據(jù)庫文件被下載或者復(fù)制、以及直接分析數(shù)據(jù)文件導(dǎo)致的數(shù)據(jù)泄漏?，F(xiàn)有系統(tǒng)對(duì)于應(yīng)用、時(shí)間、IP地址、用戶名等多種因子的身份認(rèn)證和授權(quán)管理仍然較為薄弱，需要加密系統(tǒng)繼續(xù)強(qiáng)化。背景需求產(chǎn)品方案應(yīng)用案例目錄contents010203XX數(shù)據(jù)庫透明加密產(chǎn)品基本原理6

XX數(shù)據(jù)庫透明加密產(chǎn)品采用基于視圖和觸發(fā)器的后置代理技術(shù)，其核心思想是充分利用數(shù)據(jù)庫自身提供的擴(kuò)展機(jī)制來實(shí)現(xiàn)數(shù)據(jù)加密和對(duì)應(yīng)用的完全透明。其具體實(shí)現(xiàn)原理如下：數(shù)據(jù)庫存儲(chǔ)值+a8Y/vMhHD3Ed..kSkTx6Z6tBKRToPV..插入值400-811-8806查詢結(jié)果1400-811-8806查詢結(jié)果2無權(quán)限缺省值或空無權(quán)限缺省值或空代理程序密鑰算法生產(chǎn)數(shù)據(jù)庫XX數(shù)據(jù)庫加密授權(quán)用戶業(yè)務(wù)用戶InsertSelectSelect非授權(quán)用戶防止庫文件泄露應(yīng)對(duì)高級(jí)賬號(hào)泄密應(yīng)對(duì)APT拖庫攻擊系統(tǒng)訪問控制增強(qiáng)XX數(shù)據(jù)庫透明加密產(chǎn)品列加密內(nèi)部原理7基于透明加密基本原理的介紹，現(xiàn)以一個(gè)數(shù)據(jù)庫中的表table1的name列加密為例，介紹一下透明加密的內(nèi)部實(shí)現(xiàn)機(jī)制。table1table1（原表）表改名sdbc_xxxxxx（新表）IDnamenumbername_001張三1111002李四2222003王五3333004趙六4444新增列UpdateTriggerDeleteTriggerInsertTrigger新建觸發(fā)器操作12操作操作3新建View44.視圖table1新建增/刪/改類型的觸發(fā)器，原先訪問表table1的增刪改語句（現(xiàn)在table1其實(shí)已經(jīng)是視圖），通過視圖上的觸發(fā)器，轉(zhuǎn)化為對(duì)表sdbc_xxxxxx的操作3.新建視圖table1，以sdbc_xxxxxx作為基礎(chǔ)表；1.把table1改名，如改成sdbc_xxxxxx；2.在表上增加密文列name_(保存明文數(shù)據(jù)),同時(shí)新增一些加密用到的標(biāo)記列等；XX數(shù)據(jù)庫加密產(chǎn)品列加密架構(gòu)8應(yīng)用程序安全管理子系統(tǒng)數(shù)據(jù)庫開發(fā)接口(JDBC/ODBC/OLEDB等)安全審計(jì)中心加密策略中心操作隊(duì)列子系統(tǒng)密鑰管理子系統(tǒng)安全審計(jì)子系統(tǒng)權(quán)限管理子系統(tǒng)數(shù)據(jù)庫透明展現(xiàn)模塊密文對(duì)象管理密文校驗(yàn)加/解密處理權(quán)限控制原表空間獨(dú)立于數(shù)據(jù)庫權(quán)限體系之外安全代理子系統(tǒng)XX數(shù)據(jù)庫透明加密系統(tǒng)插件管理子系統(tǒng)XX數(shù)據(jù)庫加密產(chǎn)品表空間/庫加密架構(gòu)9應(yīng)用程序數(shù)據(jù)庫開發(fā)接口(JDBC/ODBC/OLEDB等)安全審計(jì)中心加密策略中心安全審計(jì)子系統(tǒng)數(shù)據(jù)庫明文庫/表空間XX數(shù)據(jù)庫透明加密系統(tǒng)密文庫/表空間加密插件安全服務(wù)子系統(tǒng)10XX數(shù)據(jù)庫加密主要功能備份與恢復(fù)訪問授權(quán)密鑰管理多粒度加解密巡檢排障支持手動(dòng)導(dǎo)出和配置自動(dòng)本地導(dǎo)出、自動(dòng)FTP導(dǎo)出的方式將關(guān)鍵數(shù)據(jù)和配置信息進(jìn)行打包導(dǎo)出，發(fā)生異常情況時(shí)可以進(jìn)行數(shù)據(jù)恢復(fù)。提供針對(duì)加密的數(shù)據(jù)進(jìn)行權(quán)限控制，限制部分用戶的增刪改查操作，對(duì)訪問的客戶端的程序、IP、時(shí)間、星期進(jìn)行限制。采用以字段、數(shù)據(jù)表、數(shù)據(jù)庫的不同粒度加密方式。適用場景更廣，限制更少，性能更好。配置一個(gè)秘鑰輪換周期，當(dāng)秘鑰未被操作時(shí)間達(dá)到周期長度時(shí)，秘鑰會(huì)自動(dòng)更換，秘鑰更換會(huì)對(duì)加密表重新進(jìn)行加解密。XX數(shù)據(jù)庫加密支持在線實(shí)時(shí)查看加解密隊(duì)列運(yùn)行狀態(tài)，并可對(duì)該隊(duì)列所屬的日志選擇多條打包下載，用于巡檢和障礙排除產(chǎn)品優(yōu)勢：支持多種數(shù)據(jù)庫11

XX數(shù)據(jù)庫加密系統(tǒng)是目前業(yè)界支持?jǐn)?shù)據(jù)庫種類最多的加密系統(tǒng)，包括oracle10g/11g/12c、達(dá)夢7商業(yè)版、人大金倉7、sqlserver2012/2014、mysql5.7.6及以上、postgrelsql9.4/9.5/9.6/10、高斯DBT、db210.5等，覆蓋范圍廣，極大滿足用戶多種業(yè)務(wù)場景的數(shù)據(jù)加密的安全需求。XX數(shù)據(jù)庫加密12產(chǎn)品優(yōu)勢：不停機(jī)上架業(yè)界唯一不需要停機(jī)完成設(shè)備上架，上架時(shí)間控制在分鐘級(jí)；加密過程不再會(huì)對(duì)業(yè)務(wù)造成影響隊(duì)列任務(wù)新增數(shù)據(jù)觸發(fā)器歷史數(shù)據(jù)密文數(shù)據(jù)13產(chǎn)品優(yōu)勢：多種粒度選擇同時(shí)支持列加密、表空間加密、庫加密三種加密方式；同時(shí)支持軟加密和硬加密，支持國際AES和SM系列國密算法；在Oracle上創(chuàng)建一個(gè)加密表空間將表移入該表空間即加密，將表移出即解密數(shù)據(jù)在寫入磁盤時(shí)加密，從磁盤讀取出來時(shí)解密OracleDatabase加密表空間明文表空間產(chǎn)品優(yōu)勢：全透明訪問14

XX數(shù)據(jù)庫加密系統(tǒng)加密后對(duì)外部保持全透明特性，支持查詢、插入、更新、刪除等操作、支持SQL語句訪問、存儲(chǔ)過程、觸發(fā)器、用戶自定義函數(shù)、各種約束等特性。核心思想是充分利用數(shù)據(jù)庫自身提供的應(yīng)用定制擴(kuò)展能力，分別使用其觸發(fā)器擴(kuò)展能力、索引擴(kuò)展能力、自定義函數(shù)擴(kuò)展能力以及視圖等技術(shù)來滿足數(shù)據(jù)存儲(chǔ)加密，加密后數(shù)據(jù)檢索，對(duì)應(yīng)用無縫透明等核心需求。用戶數(shù)據(jù)庫XX數(shù)據(jù)庫加密透明特性語句操作應(yīng)用程序不作修改對(duì)應(yīng)用開發(fā)接口的全面透明常用第三方管理工具正常使用對(duì)存儲(chǔ)過程和函數(shù)透明的支持

SQL語句存儲(chǔ)過程開發(fā)接口運(yùn)維工具15多重加密可靠性保護(hù)15分批次加解密預(yù)加密測試數(shù)據(jù)校驗(yàn)保護(hù)即時(shí)上架數(shù)據(jù)庫運(yùn)行狀態(tài)監(jiān)控設(shè)定加解密隊(duì)列，分批次、分?jǐn)?shù)量的加解密動(dòng)作，并且每批數(shù)量可調(diào)；首次加密時(shí)，對(duì)被加密列隨機(jī)抽取50條數(shù)據(jù)進(jìn)行加解密的驗(yàn)證動(dòng)作，保證該列可執(zhí)行加解密；分鐘級(jí)實(shí)現(xiàn)產(chǎn)品部署，后臺(tái)靜默加密，最大限度減少業(yè)務(wù)停機(jī)實(shí)際。為應(yīng)對(duì)數(shù)據(jù)庫本身機(jī)制在加解密中出現(xiàn)的異常情況，使用了數(shù)據(jù)保護(hù)功能，保證數(shù)據(jù)不丟失；XX數(shù)據(jù)庫加密對(duì)數(shù)據(jù)庫主機(jī)的四個(gè)指標(biāo)（CPU、IO、內(nèi)存、網(wǎng)絡(luò)）進(jìn)行水位監(jiān)控，當(dāng)高于水位時(shí)，為了保證業(yè)務(wù)連續(xù)性停止加解密動(dòng)作，水位回落到正常時(shí)，自動(dòng)啟動(dòng)加解密；產(chǎn)品優(yōu)勢：行級(jí)加密16XX數(shù)據(jù)庫加密系統(tǒng)在傳統(tǒng)加密產(chǎn)品列(字段)級(jí)加密的基礎(chǔ)上，在業(yè)界首次實(shí)現(xiàn)了行(記錄)級(jí)加密。運(yùn)用自研的“行定位”技術(shù)，能夠快速準(zhǔn)確的定位到敏感數(shù)據(jù)行，實(shí)現(xiàn)全表級(jí)別的一行一密功能，可極大的提升系統(tǒng)安全性，為客戶敏感數(shù)據(jù)提供多重保障。敏感字段敏感字段敏感字段敏感記錄敏感記錄敏感記錄敏感字段敏感字段敏感字段整列加密，一列一密列加密行加密，一行一密列級(jí)加密行級(jí)加密產(chǎn)品優(yōu)勢：量子密鑰17

XX數(shù)據(jù)庫加密系統(tǒng)基于量子安全深度定制，支持基于量子QRNG的密鑰生成安全和基于量子QKD的密鑰分發(fā)安全。結(jié)合系統(tǒng)自身的多級(jí)密鑰系統(tǒng)和多種密鑰安全技術(shù)。確保密鑰的生成、存儲(chǔ)、分發(fā)、同步以及備份等全生命周期的安全。極大限度的提升系統(tǒng)安全級(jí)別。列密鑰行密鑰主密鑰隨機(jī)鹽QRNG量子密鑰生成(真隨機(jī)/高速率)硬件(加密卡)軟件(偽隨機(jī))密鑰生成安全密鑰存儲(chǔ)安全相互獨(dú)立密文存儲(chǔ)密鑰備份同時(shí)使用分別保存定期輪換密鑰分發(fā)安全QKD量子密鑰分發(fā)(不可監(jiān)聽、無條件安全)分發(fā)、備份、同步安全密鑰生命周期安全AliceBobEve(竊聽者)量子信道經(jīng)典信道100101000100101000基于量子特性，竊聽會(huì)造成信息改變測量坍縮、不可克隆成對(duì)加密產(chǎn)品優(yōu)勢：信封加密機(jī)制18傳統(tǒng)TDE加密的密鑰管理通過Wallet或內(nèi)部密鑰庫機(jī)制進(jìn)行密鑰管理，需要依托于數(shù)據(jù)庫本身、缺乏獨(dú)立性。XX通過多年對(duì)密碼領(lǐng)域的探索和研究，有別于傳統(tǒng)密鑰管理，自創(chuàng)出一套安全性極高的信封加密密鑰管理技術(shù)。通過將列密鑰、密鑰密文、密文格式等信息進(jìn)行多級(jí)信封封裝，運(yùn)用層級(jí)管理的機(jī)制保證密鑰和密文數(shù)據(jù)的安全性。層級(jí)管理機(jī)制密鑰多級(jí)保護(hù)密文密鑰屬性封裝CRC校驗(yàn)恢復(fù)機(jī)制封裝信封信封格式密文數(shù)據(jù)密鑰屬性數(shù)據(jù)校驗(yàn)產(chǎn)品部署19

XX數(shù)據(jù)庫加密系統(tǒng)是基于數(shù)據(jù)庫擴(kuò)展的后置代理式系統(tǒng)的實(shí)現(xiàn)模式，其外置設(shè)備的布署方式相對(duì)簡單，與用戶數(shù)據(jù)庫系統(tǒng)路由可達(dá)即可，現(xiàn)有系統(tǒng)及網(wǎng)絡(luò)拓?fù)渚鶡o需改動(dòng)。交換機(jī)XX數(shù)據(jù)庫加密用戶數(shù)據(jù)庫代理程序(自動(dòng)安裝)Internet防火墻外部用戶運(yùn)維人員/DBA透明解密原有網(wǎng)絡(luò)拓?fù)洹⒏黝愊到y(tǒng)設(shè)置均無需改動(dòng)透明加密背景需求產(chǎn)品方案應(yīng)用案例目錄contents010203應(yīng)用案例：南網(wǎng)廣東省公司數(shù)據(jù)庫加密客戶需求：南網(wǎng)廣東電力公司根據(jù)公司統(tǒng)一要求，對(duì)于管理信息大區(qū)中的營銷、資產(chǎn)、財(cái)務(wù)、人資、審計(jì)、GIS、EIP、4A等8個(gè)系統(tǒng)，共236張表、1028個(gè)字段需要加密存儲(chǔ)，以保障用戶信息、個(gè)人信息以及其它企業(yè)重要信息的機(jī)密性。解決方案：管理信息大區(qū)采用兩臺(tái)XX數(shù)據(jù)庫加密設(shè)備做冗余布署，對(duì)于要求的數(shù)據(jù)庫、表格以及敏感字段進(jìn)行加密存儲(chǔ)；項(xiàng)目效果：通過布署XX數(shù)據(jù)庫加密系統(tǒng)，實(shí)現(xiàn)了管理信息大區(qū)八大關(guān)鍵系統(tǒng)中敏感數(shù)據(jù)的密文存儲(chǔ)；支持對(duì)于授權(quán)用戶的透明訪問，用戶網(wǎng)絡(luò)拓?fù)浼霸O(shè)置無需改動(dòng)；滿足內(nèi)外部合規(guī)性要求。運(yùn)維管理信息大區(qū)內(nèi)網(wǎng)XX數(shù)據(jù)庫加密(主備)運(yùn)維區(qū)生產(chǎn)控制大區(qū)防火墻正向GAP反向GAP營銷Oracle資產(chǎn)Oracle財(cái)務(wù)Oracle人資DM審計(jì)OracleGISOracleEIPOracle4AOracle營銷系統(tǒng)資產(chǎn)系統(tǒng)財(cái)務(wù)系統(tǒng)人資系統(tǒng)審計(jì)系統(tǒng)GIS系統(tǒng)EIP系統(tǒng)4A系統(tǒng)數(shù)據(jù)庫區(qū)應(yīng)用區(qū)外部公共因特網(wǎng)21應(yīng)用案例：北京黨建平臺(tái)22客戶需求：北京黨建平臺(tái)核心關(guān)鍵數(shù)據(jù)高度機(jī)密，數(shù)據(jù)的安全防護(hù)，和三數(shù)據(jù)中心的安全備份問題亟待解決。解決方案：1、三數(shù)據(jù)中心分別部署：一套數(shù)據(jù)庫加密，和一臺(tái)量子密鑰生成器、量子路由器。2、主數(shù)據(jù)中心A實(shí)現(xiàn)數(shù)據(jù)量子加密后的密文存儲(chǔ)；備份數(shù)據(jù)中心B備份密文數(shù)據(jù)；備份數(shù)據(jù)中心C備份密鑰。3、在主數(shù)據(jù)中心發(fā)生數(shù)據(jù)或密鑰損毀，可隨時(shí)通過B或C數(shù)據(jù)中心恢復(fù)。4、B、C數(shù)據(jù)中心分別僅有密文或者密鑰，任何一點(diǎn)都無法獲取明文信息。用戶收益：XX數(shù)據(jù)庫量子加密方案，將核心密文存儲(chǔ)，用量子密鑰鑄造無條件安全加固，杜絕第三方非法侵入引發(fā)的數(shù)據(jù)泄露問題。密鑰和加密數(shù)據(jù)獨(dú)立備份，保障了數(shù)據(jù)的安全性和可用性。QKD專線專線QKD主數(shù)據(jù)中心A備份數(shù)據(jù)中心B備份數(shù)據(jù)中心C應(yīng)用案例：道達(dá)爾公司客戶需求：道達(dá)爾（Total）是全世界第四大石油及天然氣一體化上市公司，業(yè)務(wù)遍及全球130余國家?？偛吭O(shè)在法國巴黎，在全球超過110個(gè)國家開展?jié)櫥蜆I(yè)務(wù)。其產(chǎn)品