序文
データベースは、すべての情報システムの中核であり、データベースのセキュリティは、一般的には、ネットワークセキュリティ、情報セキュリティの重要な部分であり、そこに格納されたデータのセキュリティを意味します。データベース内のデータの暗号化は、データベースのセキュリティが重要な部分です。しかし、データベースの暗号化は、ユーザーの大多数のため、比較的高い技術的なしきい値を持ち、さらには情報セキュリティの専門家は、より神秘的です。このホワイトペーパーでは、あなたが謎を明らかにする手助けするために、データベースの暗号化に関連するいくつかの問題を分析することを目指しています。
1.データベースの暗号化とは何ですか？
これは、暗号化された方法で格納されたデータベースに格納されたデータベースの暗号化データ、特に機密性の高いデータを指します。
2.なぜ、データベース暗号化をすべきか？
データは、データの情報システム資産、紛失、破損や漏れの中核である、計り知れない損失を課す可能性があります。機密データを暗号化するには、コアデータのセキュリティ保護手段の一つです。データは、2つの種類があり、一つはそのような文書や画像などの非構造化データであり、他方は、データベース内のデータなどの構造化データです。データのこれら2つの形式は非常に重要であり、暗号化する必要があります。構造化データは、典型的には、非常に濃縮し、貴重な情報によって運ばれ、そして保護された暗号化することが特に重要です。また、海外で主に国産品を使用したデータベース管理システムから、安全かつ制御考慮事項については、国内のデータベースは、まだ完全に純粋な国内のデータベース暗号化製品を必要とし、特に、この段階で外国製品を置き換えることはできません。暗号化と復号化のプロセスは、データベースの効率に悪影響を与えるだろうが、機密データの漏洩は、しばしば、厳しい現実に直面しているが、データベースの暗号化が必要な保護措置を注文する必要があり、まだあります。データベースの暗号化は大幅にデータベースのセキュリティを向上させることができます。大幅にデータ漏洩や悪質な破壊のリスクを低減、暗号化されたデータへのアクセスを制御し向上させながら、暗号化した後、データは、直接露光データを防ぐために、暗号化された形で保存されています。
3.国内のデータベース暗号化製品は、どのような段階を経ていますか？
国内のデータベース暗号化製品の開発は、3つの段階に分けることができます。
第一段階は、探索段階です。2003年以前に、国内のデータベース暗号化が完了したデコンパイル外国セキュリティ・データベース・システムであることを意味します。暗号化とデータベースシステムの外国セキュリティバージョン、国内の技術者は、リバースエンジニアリング、完了するまでに、国内の暗号化アルゴリズムに参加した「ローカライズを。」特定のセンシティブな分野での暗号化手段は、一定の効果を達成するために、国内の小規模なアプリケーションとなっています。しかし、データベースのセキュリティ技術のさらなる発展と、市場から回収されました。
第二阶段是国外产品导入国内市场以及国产数据库加密产品萌芽阶段。从2003年开始，几家国外的数据库加密产品厂商，为了进入中国市场，将产品界面进行“中国化”，经由香港进入国内市场。但由于国家保密政策的限制，这些被伪装成国产的数据库加密产品并没有在国内数据库安全市场大行其道,反而逐渐销声匿迹。据作者所知，国内大概还有一两家“国产化”的外国数据库加密产品在市场销售，但也是局限在很小的一个范围内，无法被国内用户广泛接受。但在这一阶段，逐渐有国内科研人员开始进行数据库加密技术的研究。
2009年已有数据库加密技术的专利发明出现。其中北京理工大学戴林副教授的“一种支持密文索引的数据库透明加密方法”被学术界认为是国内数据库加密技术研究中较早重要的一个专利发明。随后，国内陆续有研发团队开始进行数据库加密产品的开发，虽说与国外顶级技术有不小差距，但毕竟是迈出了非常重要的第一步。
第三个阶段是国产数据库加密技术逐步产品化并走向市场的阶段。从2010年开始，随着科研成果的产业化，国内市场开始出现纯国产的数据库加密产品。经过市场的磨练，产品越来越成熟，越来越为数据库安全运维人员所接受。不难预见，假以时日，数据库加密产品将成为数据库安全市场的重要力量，甚至能取代数据库审计产品和数据库防火墙产品的市场地位，成为数据库安全市场的宠儿。
4. 何为数据库透明加密？
数据库透明加密是指对库内数据的加密和解密，对数据库的访问程序是完全无感知的。特别是应用系统，不需要做任何修改和编译，就能够直接应用到加密库上。
与透明加密相对应的，是在应用系统中对数据进行加密，然后再存储到数据库中。需要真实数据的时候，从数据库中读取密文，再解密出明文。严格的说，这种方式并不是数据库加密，而是数据加密。
本文所指的数据库加密都是指透明加密。
5.数据库加密实现方式有哪些，特性如何？
全盘加密：采用全盘加密系统或者存储加密网关系统，将数据库文件所在的磁盘扇区进行加密。当数据库访问磁盘扇区的时候，对加密扇区再进行解密。这种方式对于数据库自身来说是透明的，数据库管理系统也感觉不到加密解密过程的存在。这种加密方式工作在存储层，仅能防止磁盘丢失时敏感数据遭受泄漏。所有对磁盘具有访问权限的用户都可以访问到真实的数据库文件。因而，对于控制了操作系统的攻击者来说，并没有防护能力。
文件加密：在操作系统文件驱动层将数据库的存储文件经过加密后存储到磁盘上。当数据库访问存储文件的时候，再进行解密。这种方式对于数据库自身来说也是透明的，数据库管理系统也感觉不到加密解密过程的存在。这种加密方式能防止磁盘丢失和文件被复制导致的敏感数据泄漏。但是，对于控制了数据库系统的攻击者来说，文件还是开放的，因而也没有真正的防护能力。
数据库自带加密：某些数据库自身提供了加密机制，在数据库内核实现了存储的加密。这种加密方式能防止磁盘丢失和文件被复制导致的敏感数据泄漏。但是，对于控制了数据库系统的攻击者来说却是开放的，并没有防护能力。而且其密钥管理通常不会对数据库用户开放，安全性得不到保证，也得不到国内相关评测机构的认可。
库内扩展加密：通过使用视图、触发器、扩展索引等机制，实现透明加密。由于引入了独立于数据库的第三方程序，通过控制加密解密的权限，增加了额外的访问控制。对于数据库内不同的用户，也可以控制其对加密数据的访问。但是这种加密方式不能越过应用系统，实现应用系统用户对敏感数据的访问控制。而且这种加密方式依赖于数据库系统的扩展索引机制，并不能在所有数据库上实现。
数据库加密网关或加密驱动：通过对数据库前端部署数据库加密网关，或者通过扩展数据库访问驱动（如JDBC驱动）实现数据库加密。这种方式理论上能够支持所有的数据库，是一种通用的解决方案，且安全性更高。但是对于所有访问语句和访问机制却难以全部支持，例如对于网关之后的存储过程和触发器都无法支持。
应用加密网关：在应用系统之前放置加密网关，进一步将数据加密的位置提前，在数据进入应用系统之前进行加密。这种加密方式可以控制应用系统的用户对数据的访问权限，并且真实数据对所有数据库用户都是不可见的，是最安全的一种加密方式。事实上，这种加密方式与具体的数据库无关，是对立与数据库的。但是由于应用系统的复杂性，实现的难度也较大。
总之，数据被加密的位置离用户越近，安全性越高，同时实现的难度也越大。以上所述的几种加密方式，数据加密的位置离用户是逐步靠近的，防护能力也是逐步提升的。
目前国内数据库安全市场主流的数据库加密方式是库内扩展加密，本文中，如果没有特别指出，都特指这种加密方式。
6.数据库加密能解决哪些具体问题？
数据库加密能够通过有效的解决如下问题，来提升数据库的安全性：
1) 防止数据库文件被下载或者复制、以及直接分析数据文件导致的数据泄漏和破坏。由于敏感数据被加密，任何直接对数据库文件进行分析的攻击方式，都只能看到密文。
2) 防止DBA或高权限帐号密码泄露导致的数据泄漏和破坏。DBA或者高权限账号被攻击者获取后，虽然攻击者能够得到数据库中的全部数据，但是由于敏感数据是被加密的，所以仍然不能获得明文。或者攻击者试图修改授权用户的访问密码进行身份伪造攻击，但是加密系统额外的身份认证机制能够对这种伪造身份进行识别，致使攻击者仍然无法获取真实数据。
SQLインジェクションライブラリ全体のデータ漏洩ドラッグライブラリやデータの破損を防ぐ方法の3）一部。ライブラリをドラッグすることで、データベースのすべての内容を取得しますが、対応する攻撃するために使用された場合のみ、平文のユーザー権限を取得することができ、SQLインジェクション攻撃は、ユーザーが権限を持っていないことを機密データのために、攻撃者はまだアクセスすることはできません。
4）多要素認証と承認を、唯一の方法はパスワード認証による安全性の欠陥の不足を補うために。あなたは、認証と承認の管理アプリケーションシステム、時間、IPアドレス、ユーザー名、およびその他の要因を増やすことができます。
7. データベースの暗号化の問題を解決することはできませんか？
透明データベース暗号化が著しく、データベースのセキュリティが、データベースとBunengjiejueすべてのセキュリティ問題を向上させることができますが。
1）完全にSQLインジェクション攻撃を防ぐことはできません。使用している場合は、SQLインジェクション攻撃者は、ユーザーがデータベースを攻撃するために、データベース・アプリケーション・システムにアクセスする権限を与え、それがユーザーの暗号化システムの適切な権限を得ることができ、委任統治の下で機密データへのアクセスを得ることができます。
2）完全にデータベースへの攻撃の身元を偽造する攻撃を防ぐことはできません。ソーシャルエンジニアリングによる攻撃者は、盗み、ユーザーのアカウント、パスワード、およびアプリケーションシステム、IP情報内の機密データを完全に合法的なアクセスを偽造すると、データベースの暗号化は、彼らのアクセスを制限することはできません。
3）承認申請システムが完全にデータベースへの不正なバックドアアクセスを防止することはできません。アプリケーションが機密データにアクセスしますが、開発者がバックドアを残すために許可されている場合は、データベースの暗号化システムはこれを認識し、バックドアをブロックしないでください。
以下のような他の関連する質問「データベースの保護のために、データベースの暗号化システムを構成するためにどのように？」「データベースの暗号化キーテクノロジー何の？」「主要指標データベースの暗号化方式は何ですか？」ようにと、私たちは、その後の記事で詳しく説明していきます。ご期待。