转载

SQL Server 2016：全程加密

关于数据库的安全性，或者说关于安全性的缺失问题时常见诸报端。几乎每个月都不只一次看到关于大企业或政府机构由于数据库安全性问题而捅出大娄子的报道。这些问题中的一部分是可以通过加密与散列技术得到缓解的，但由于这一过程很乏味，因此开发者通常只会对最敏感的数据应用这种技术，例如密码等等。

SQL Server 2016将通过新的全程加密（Always Encrypted）特性让加密工作变得更简单，这项特性提供了某种方式，以确保在数据库中不会看到敏感列中的未加密值，并且无需对应用进行重写。为了维持合理的性能，非敏感的列 —— 例如主键列仍将保持未加密。

实际的数据加密与解密过程是由数据库driver这一层处理的，数据库本身只能看到加密后的值，而应用程序代码仅仅是与未加密的数据打交道。在执行某个查询时，driver会自动在Windows Certificate Store（或其它取决于操作系统中的位置）中查找主密钥。该主密钥将用于将对应于某一列的密钥进行解密，随后再用解密后的密钥对字段及参数进行加密与解密。

场景

微软给出了使用全程加密的三种场景。

本地客户端与数据

某客户的客户端应用与SQL Server都运行于本地的自有企业场所，他打算雇用一位外部人士进行SQL Server的管理。为了保护SQL Server中所存储的机密数据，该客户应用了全程加密这一特性，以确保数据库管理员与应用程序管理员的职责分离。客户将全程加密的密钥以明文值的方式存储在某个可信的密钥存储系统中，这个系统是客户端应用程序能够访问的，而SQL Server的管理员无法访问这些密钥，因此也无法解密存储在SQL Server中的机密数据。

本地客户端与Azure平台中的数据

某客户的客户端应用运行在本地的自有企业场所中，该应用需要操作运行于Azure平台上的某个数据库（例如在Microsoft Azure的虚拟机中运行的SQL Server实例）中的机密数据。客户利用了全程加密特性，将全程加密的密钥存储在一个可信的本地存储系统中，以保证微软云管理员无法访问机密数据。

客户端与数据都运行在Azure平台

某客户的客户端应用运行在Microsoft Azure平台上（例如某个在worker role或web role中运行），它需要操作同样存储在Microsoft Azure平台上的机密数据。客户利用全程加密特性以减少遭受安全攻击的表面面积（机密数据在数据库与运行该数据库的机器中都保持全程加密）。