[zt]Oracle 10G：透明資料加密技術(TDE)

           在Oracle的最新版本10g R2中，出現最及時的技術應該是透明資料加密技術(Transparent Data Encryption，TDE)。

　　TDE用來對資料加密，通常 SQL 執行的應用程式邏輯不需要進行更改，仍能正常執行。 換言之，應用程式可以使用同一語法將資料插入到應用程式表中，並且 Oracle 資料庫在將資訊寫入磁碟之前將自動對資料進行加密。 隨後的選擇操作將透明地解密資料，因此應用程式將繼續正常地執行。 這一點很重要，因為當前的應用程式通常期望未加密的應用程式資料。 顯示加密資料至少會使應用程式使用者迷惑不解，甚至還會破壞現有的應用程式。

　　設定加密金鑰：

　　Oracle 透明資料加密提供了實施加密所必需的關鍵管理基礎架構。 加密的工作原理是將明文資料以及秘密(稱作金鑰)傳遞到加密程式中。 加密程式使用提供的金鑰對明文資料進行加密，然後返回加密資料。 以往，建立和維護金鑰的任務由應用程式完成。 Oracle 透明資料加密透過為整個資料庫自動生成一個萬能金鑰解決了此問題。 在啟動 Oracle 資料庫時，管理員必須使用不同於系統口令或 DBA 口令的口令開啟一個 Oracle Wallet 物件。 然後，管理員對資料庫萬能金鑰進行初始化。 萬能金鑰是自動生成的。

　　效能：

　　由於索引資料未被加密，因此加密通常會影響現有的應用程式索引。 Oracle 透明資料加密對與給定應用程式表關聯的索引值進行加密。 這意味著應用程式中的相等搜尋對效能的影響很小，甚至沒有任何影響。 例如，假設應用程式 card_id存在一個索引，並且此應用程式執行以下語句：

　　SQL> Select cash from credit_card where card_id = '1025023590';

　　Oracle 資料庫將使用現有的應用程式索引，儘管 card_id資訊已經在資料庫中加密。

　　準備用於加密的資料庫：

　　在本部分內容中，您將更新 sqlnet.ora、建立一個加密錢夾 (ewallet.p12)、開啟此錢夾併為 TDE 建立萬能金鑰。執行以下操作：

　　1. 您需要更新 sqlnet.ora 檔案以包含一個 ENCRYPTED_WALLET_LOCATION 條目。開啟一個終端視窗，然後輸入以下命令：

　　cd $ORACLE_HOME/network/admin

　　gedit sqlnet.ora

　　將以下條目新增到檔案末尾：

　　ENCRYPTION_WALLET_LOCATION=(SOURCE=(METHOD=FILE)(METHOD_DATA=(DIRECTORY=/opt/oracle/admin/test97/wallet/)))

　　如果不加這一項的話，則會提示下面錯誤：

SQL> alter system set key identified by "hurray" 　　2 ; 　　alter system set key identified by "hurray" 　　* 　　ERROR at line 1: 　　ORA-28368: cannot auto-create wallet

　　2. 接下來，您需要開啟錢夾並建立萬能加密金鑰。從終端視窗中，輸入以下命令：

　　connect / as sysdbaalter system set key identified by "welcome1";

　　此命令的作用為：

　　l 如果指定的目錄中不存在加密錢夾，則將建立加密錢夾 (ewallet.p12)、開啟此錢夾並建立/重新建立 TDE 的萬能金鑰。

　　l 如果指定目錄中存在加密錢夾，則將開啟此錢夾並建立/重新建立 TDE 的萬能金鑰。

　　之後，就可以測試資料了。

　　下面是實驗記錄：

alter system set key identified by "welcome1"; SQL> conn dodd/dodd123 create table test (id number,credit_card_number varchar2(16) ENCRYPT NO SALT); SQL> insert into test values(1,'1231243242'); 1 row created. SQL> insert into test values(2,'33245235'); SQL> commit; Commit complete. SQL> select * from test;         ID CREDIT_CARD_NUMB ---------- ----------------          1 1231243242          2 33245235

 

可見，資料檢視是明文，因為這個時候，加密錢夾已經開啟，資料可以解密。

　　這時，停止資料庫，再開啟：

SQL> shutdown immediate Database closed. Database dismounted. ORACLE instance shut down. SQL> SQL> startup ORACLE instance started. Total System Global Area  524288000 bytes Fixed Size                  1979968 bytes Variable Size             138414528 bytes Database Buffers          377487360 bytes Redo Buffers                6406144 bytes Database mounted. Database opened. SQL> select * from dodd.test; select * from dodd.test                    * ERROR at line 1: ORA-28365: wallet is not open SQL> select id from dodd.test;         ID ----------          1          2