SQL数据库加密--dba都不能查看数据，方法？？？

前些天面试，面试官问我，数据库加密的事，如果要对一个数据库加密，让数据库管理员都不能查看到其真实信息，有什么方法，刚搜索了下，有看到用证书的形式，还有其他的吗？大家解答下！

解决方案 »

  1.   

    看看这个帖子，和你的可能差不多！http://topic.csdn.net/t/20050901/08/4243462.html
      

  2.   

    SQL Server 2005数据加密技术应用研究
    ZDNet 软件频道    更新时间:2007-09-12作者：lynn    来源:赛迪网技术社区数据加密是SQL Server 2005新增的数据安全特性，这对应用程序开发者来说是非常重要的改进。本文从程序开发者角度，探讨SQL Server 2005数据加密特性以及如何运用该特性保证系统的数据安全。 
    关键词 SQL Server 2005、数据加密、数据安全 
    SQL Server 2005是微软开始实施其“可信赖计算” 计划以来的第一个主要的产品，它提供了丰富的安全特性，为企业数据提供安全保障。对开发人员来说，最关注的是如何在程序设计过程中应用这些特性来保护数据库中的数据安全。本文将从应用程序开发者角度探讨基于SQL Server 2005数据加密特性的应用。 
    SQL Server 2005数据加密技术 
    数据用数字方式存储在服务器中并非万无一失。实践证明有太多的方法可以智取SQL Server 2000认证保护，最简单的是通过使用没有口令的sa账号。尽管SQL Server 2005远比它以前的版本安全，但攻击者还是有可能获得存储的数据。因此，数据加密成为更彻底的数据保护战略，即使攻击者得以存取数据，还不得不解密，因而对数据增加了一层保护。 
    SQL Server 2000以前的版本没有内置数据加密功能，若要在SQL Server 2000中进行数据加密，不得不买第三家产品，然后在服务器外部作COM调用或者是在数据送服务器之前在客户端的应用中执行加密。这意味着加密的密钥或证书不得不由加密者自己负责保护，而保护密钥是数据加密中最难的事，所以即使很多应用中数据已被很强的加密过，数据保护仍然很弱。 
    SQL Server 2005通过将数据加密作为数据库的内在特性解决了这个问题。它除了提供多层次的密钥和丰富的加密算法外，最大的好处是用户可以选择数据服务器管理密钥。SQL Server 2005服务器支持的加密算法如下： 
    ⑴ 对称式加密（Symmetric Key Encryption）： 
    对称式加密方式对加密和解密使用相同的密钥。通常，这种加密方式在应用中难以实施，因为用同一种安全方式共享密钥很难。但当数据储存在SQL Server中时，这种方式很理想，你可以让服务器管理它。SQL Server 2005 提供RC4、RC2、DES 和 AES 系列加密算法。 
    ⑵ 非对称密钥加密（Asymmetric Key Encryption）： 
    非对称密钥加密使用一组公共/私人密钥系统，加密时使用一种密钥，解密时使用另一种密钥。公共密钥可以广泛的共享和透露。当需要用加密方式向服务器外部传送数据时，这种加密方式更方便。SQL Server 2005 支持 RSA 加密算法以及 512 位、1,024 位和 2,048 位的密钥强度。 ⑶ 数字证书（Certificate）： 
    数字证书是一种非对称密钥加密，但是，一个组织可以使用证书并通过数字签名将一组公钥和私钥与其拥有者相关联。SQL Server 2005 支持“因特网工程工作组”(IETF) X.509 版本 3 (X.509v3) 规范。一个组织可以对 SQL Server 2005 使用外部生成的证书，或者可以使用 SQL Server 2005 生成证书。 
    SQL Server 2005 采用多级密钥来保护它内部的密钥和数据，如下图所示： 
    图中引出箭头的密钥或服务用于保护箭头所指的密钥。所以服务主密钥（service master key）保护数据库主密钥（database master keys），而数据库主密钥又保护证书（certificates）和非对称密钥（asymmetric keys）。而最底层的对称性密钥（symmetric keys）被证书、非对称密钥或其他的对称性密钥保护（箭头又指回它本身）。用户只需通过提供密码来保护这一系列的密钥。 　　图中顶层的服务主密钥，安装SQL Server 2005新实例时自动产生和安装，用户不能删除此密钥，但数据库管理员能对它进行基本的维护，如备份该密钥到一个加密文件，当其危及到安全时更新它，恢复它。 服务主密钥由DPAPI（Data Protection API）管理。DPAPI在Windows 2000 中引入，建立于Windows的Crypt32 API之上。SQL Server 2005 管理与DPAPI的接口。服务主密钥本身是对称式加密，用来加密服务器中的数据库主密钥。 　　数据库主密钥与服务主密钥不同，在加密数据库中数据之前，必须由数据库管理员创建数据库主密钥。通常管理员在产生该密钥时，提供一个口令，所以它用口令和服务主密钥来加密。如果有足够的权限，用户可以在需要时显式地或自动地打开该密钥。下面是产生数据库主密钥的T-SQL代码示例： USE EncryptionDB CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'UTY6%djzZ8S7RyL' 每个数据库只有一个数据库主密钥。可以用ALTER MASTR KEY语句来删除加密，更改口令或删除数据库主密钥。通常这由数据库管理员来负责做这些。 有了数据库主密钥，就可以着手加密数据。T-SQL有置于其内的加密支持。使用CREATE语句创建各种密码，ALTER语句修改他们。例如要创建对称式加密，可以通过一对函数EncryptByKey 和 DecryptByKey来完成。 数据加密技术应用解析 下面通过实例来探讨SQL Server 2005数据加密与解密技术的实现。 假设有一张Customer 表，表中有字段 customer ID、 name、 city 和各种信用卡细节。其中信用卡细节需要加密而其他数据不需要。假设User1有对称式密钥，并用该密钥登录，运行相应的代码加密数据。 ⑴ 数据加密 ① 产生密钥：在含有Customers 表的数据库中使用Triple DES作为加密算法，生成对称式密钥。本例中，密钥本身由已经存在在数据库中的证书保护，如图一所示，对称密码受非对称密码和存在的其他对称式密钥保护。 CREATE SYMMETRIC KEY User1SymmetricKeyCert AUTHORIZATION User1 WITH ALGORITHM = TRIPLE_DES ENCRYPTION BY CERTIFICATE User1Certificate ② 打开密钥：对称式密钥使用前必须显式打开，所以接下来打开它，重新找回密码，解密它，并放它在受保护的服务器内存中，准备使用。 OPEN SYMMETRIC KEY User1SymmetricKeyCert DECRYPTION BY CERTIFICATE User1Certificate ③ 加密数据：在下面的代码中，使用正常的T-SQL INSERT语句将一行数据插入表中，id、name和city 用明文保存，信用卡类型、号码以及有潜在机密的客户注释用加密方式储存，用Triple DES加密算法加密数据。 INSERT INTO Customer VALUES (4, 'John Doe', 'Fairbanks', EncryptByKey(Key_GUID( 'User1SymmetricKeyCert'), 'Amex'), EncryptByKey(Key_GUID( 'User1SymmetricKeyCert'), '1234-5678-9009-8765'), EncryptByKey(Key_GUID( 'User1SymmetricKeyCert'), 'Window shopper. Spends at most.')) 加密完成后，关闭它，释放内存，以防它被误用。 CLOSE SYMMETRIC KEY User1SymmetricKeyCert 以上是整个的数据加密的操作过程。它没有混乱的密码管理，也不用调用特别的算法。储存加密数据的字段是varbinary类型数据，其长度足以储存扩展的数据（加密数据比明文需要更多的空间，有时候多很多）。 ⑵ 数据解密 要解密已加密的数据，你需要重新打开对称式加密。使用DecryptByKey函数读数据，然后关闭对称式加密。结果及相应的代码如下。 OPEN SYMMETRIC KEY User1SymmetricKeyCert DECRYPTION BY CERTIFICATE User1Certificate SELECT CustID, Name, City, CONVERT(VARCHAR, DecryptByKey(CreditCardType)) AS CardType, CONVERT(VARCHAR, DecryptByKey(CreditCardNumber)) AS CardNumber, CONVERT(VARCHAR, DecryptByKey(Notes)) AS Notes FROM Customer WHERE CustID = 4 CLOSE SYMMETRICKEYUser1SymmetricKeyCert 这个例子显示了让SQL Server 2005为你管理密钥的一种方法。但实际上，用户总是选择自己提供一个口令的方式，用RC4算法产生对称密码。代码如下： CREATE SYMMETRIC KEY User2SymmetricKeyPwd AUTHORIZATION User2 WITH ALGORITHM = RC4 ENCRYPTION BY PASSWORD = 'sdylvxF&imeG3FP' SQL Server 2005产生一个基于用户提供的口令的密钥来加密数据。除非明确指定，否则口令不保存在SQL Server 2005中，用户必须保护好自己的口令，否则任何一个知道口令的人都可以解密数据。 如果认为对存储在数据库中的数据加密完全是浪费处理器时间和存储空间那就错了。SQL Server 2005中的数据加密是一个非凡的特性，它为客户的数据提供了一个重要的保护层。但应用时要注意，只对那些敏感机密的数据进行保护，因为加密消耗服务器处理器大量的资源，如果对一个有一千万条记录的表的每个字段都加密的话，运行一条没有Where 子句的SELECT 就可能导致服务器性能的崩溃。(
      

  3.   

    http://blog.csdn.net/fredrickhu/archive/2009/09/20/4574249.aspx
      

  4.   

    转贴自teched讲师:  牛可  基本概念:第一层 服务主密钥 备份服务主密钥
    backup service master key to file='c:\smk.bak'
    encryption by password='P@ssw0rd'
     
    restore service master key from file='c:\smk.bak'
    decryption by password='P@ssw0rd'
     
    第二层 数据库主密钥
    1)必须先在该数据库上创建数据库主密钥才能使用
    create master key encryption by password='P@ssw0rd'
     
    2)使用数据库主密钥
    －如果数据库主密钥使用服务密钥进行保护，则在使用时会自动打开
    opren master key decryption by password='P@ssw0rd'
     
    3)查看数据库主密钥状态
    sys.symmetric_keys
     
    4)备份数据库主密钥
    backup master key to file='c:\smk.bak'
    encryption by password='P@ssw0rd'
     
    restore master key from file='c:\smk.bak'
    decryption by password='P@ssw0rd'
     
     
    数字证书
    创建自签名
    create certificate cert_myCert
    encryption by password='P@ssw0rd'
    with subject='Self Signed Cert',
    start_date='1/31/2006'
    expiry_date='1/31/2008'
     
     
    非对称密钥
    创建新的密钥对
    create asymmetric key asy_Key1
    with algorithm=RSA_2048
    encryption by password='P@ssw0rd'
     
     
    对称密钥
    创建新的密钥对
    create symmetric key SymKeyMarketing3
    with algorithm=AES_2048
    encryption by certificate asy_Key1
     
    使用对称密钥
    使用前必须打开
    open symmetric SymKeyMarketing3
    decryption by certificate asy_Key1
     
    sys.open_keys
     
     
    数据列加密
    －使用对称密钥加密大量的列数据
    －考虑使用证书，非对称密钥保护对称密钥
     
    防止绕过加密数据列的攻击－使用验证器
     
    注:
    在加密列上的索引将变得无效
    加密数据列的长度增长，建议使用varbinary（max）数据类型
    修改已有的dml语句以支持加密的数据列
     
    -----***********示例1 了解数据库加密体系结构*****-----
     
    --************(1) 服务主密钥
    --准备工作
    --创建测试数据库TestDB
    --1)备份服务主密钥
    backup service master key to file='g:\smk.bak'
    encryption by password='p@ssw0rd'
     
    --2)生成新的主密钥
    Alter service master key regenerate
     
    --3)从备份文件还原服务主密钥
    Restore service master key from file= file='g:\smk.bak'
    encryption by password='p@ssw0rd'
     
    --*************(2) 数据库主密钥
    --1)为数据库创建数据库主密钥
    create master key encryption by password='p@ssw0rd'
    go
    --2)查看数据库加密状态
    select [name],is_master_key_encrypted_by_server 
    from sys.databases where name='TestDB'
     
    --3)查看数据库主密钥的信息
    select * from sys.symmetric_keys 
     
    --4)备份数据库主密钥
    backup master key
    to file='g:\testdbkey.bak'
    encryption by password='p@ssw0rd'
     
    --5)删除服务主密钥对数据库主密钥的保护
    --创建非对称密钥成功,自动使用服务主密钥解密并使用该数据库主密钥
    create asymmetric key asy_Testkey1 with algorithm=RSA_1024
    go
    --删除服务主密钥对数据库主密钥的保护
    alter master key
    drop encryption by service master key
    go
     
    --查看数据库加密状态
    select [name],is_master_key_encrypted_by_server 
    from sys.databases where name='TestDB'
     
    --创建非对称密钥失败,因为数据库主密钥未打开
    create asymmetric key asy_Testkey2 with algorithm=RSA_1024
    go
    --打开数据库主密钥
    open master key decryption by password='p@ssw0rd'
    select * from sys.openkeys
    go
    --创建非对称密钥成功
    create asymmetric key asy_Testkey2 with algorithm=RSA_1024
    go
     
    --恢复服务主密钥对数据库主密钥的保护
    alter master key
    add encryption by service master key
    close master key
    go
     
    --*****(3)证书
    --1)创建自签名证书
    create certificate cert_Testcert
    encryption by password='p@ssw0rd'
    with subject='TestCert1',
    start_date='1/31/2006',
    expiry_date='1/31/2008'
    go
    select * from sys.certificates
     
     
    --2)从文件导入证书
    Create certificate cert_TestCert2
    From file=’g:\MSCert.cer’
    Go
     
    -- 3)备份导出证书和密钥
    backup certificate cert_Testcert
    to file='g:\Testcert.cer'
    with private key
    (decryption by password='p@ssw0rd',
    file='g:\TestCert_pvt',--私密钥
    encryption by password='p@ssw0rd' )
    go
     
    --4)使用证书加解密数据
    --加密:使用证书的公钥
    declare @cleartext varbinary(200)
    declare @cipher varbinary(200)
    set @cleartext=convert( varbinary(200),'Test text string')
    set @cipher=EncryptByCert(Cert_ID('cert_TestCert'),@cleartext)
    select @cipher
     
    --解密:使用证书的私钥
    select convert(varchar(200),DecryptByCert(Cert_ID('cert_TestCert'),@cipher,N'p@ssw0rd')) as [cleartext]
     
     
    --5) 删除证书私钥
    alter certificate cert_TestCert
    remove private key
    go
     
    --加密成功
    declare @cleartext varbinary(200)
    declare @cipher varbinary(200)
    set @cleartext=convert( varbinary(200),'Test text string')
    set @cipher=EncryptByCert(Cert_ID('cert_TestCert'),@cleartext)
    select @cipher
     
    --解密失败:因为私钥被删除
    select convert(varchar(200),DecryptByCert(Cert_ID('cert_TestCert'),@cipher,N'p@ssw0rd')) as [cleartext]
     
     
    --***(4) 非对称密钥
    --1)使用sn.exe生成非对称密钥,安装vs2005后有sn.exe, 在命令行方式下执行
    sn -k g:\asy_Test.key
     
    --2)从文件创建非对称密钥
    create asymmetric key asm_Test
    from file='g:\asy_Test.key'
    encryption by password='p@ssw0rd'
    go
     
    select * from sys.asymmetric_keys
     
     
     
    --***********示例2 使用加密保护列数据
    -----*****(1) 准备工作
    --1) 创建示例表
    create table empsalary
    (EmpID int,
     Title nvarchar(50),
     Salary varbinary(500)
    )
    go
     
    --2) 创建数据库主密钥
    create master key encryption by password='p@ssw0rd'
    go
     
    --3) 创建用于加密的对称密钥
    create symmetric key sym_Salary
    with algorithm=AES_192
    encryption by password='p@ssw0rd'
    go
     
    select * from sys.symmetric_keys where [name]='sym_Salary'
     
    ------****(2)加密列数据
    --1)打开对称密钥
    open symmetric key sym_Salary
    decryption by password='p@ssw0rd'
    go
    select * from sys.openkeys
     
    --2)向表中插入数据，并对salary列加密
    insert into empsalary values (1,'CEO',EncryptByKey(KEY_GUID('sym_Salary'),'20000'))
    insert into empsalary values (2,'Manager',EncryptByKey(KEY_GUID('sym_Salary'),'10000'))
    insert into empsalary values (3,'DB Admin',EncryptByKey(KEY_GUID('sym_Salary'),'5000'))
     
    --3)关闭打开的对称密钥
    close symmetric key sym_Salary
    go
    select * from sys.openkeys
     
     
    --4) 查看表中的数据
    select * from empsalary
     
    --(3)解密并访问被加密的数据列
    --1)打开对称密钥
    open symmetric key sym_Salary decryption by password='p@ssw0rd'
    go
    --2)使用对称密钥解密并访问被加密的列
    select empid,title,cast(DecryptByKey(Salary) as varchar(20)) as salary from empsalary
     
    --3) 关闭对称密钥
    close symmetric key sym_Salary
    go
     
    --(4)绕过加密数据的攻击
    --1)攻击者使用其他数据行的加密数据替换某一行的数据
    update empsalary 
    set salary=(select salary from empsalary where empid=1)
    where empid=3
     
    --2)查看被攻击后解密的数据
    open symmetric key sym_Salary decryption by password='p@ssw0rd'
    select empid,title,cast(DecryptByKey(Salary) as varchar(20)) as salary from empsalary
    close symmetric key sym_Salary
     
     
    --(5)使用验证器防止绕过加密数据的攻击
    --1)删除前面添加的数据行
    delete empsalary
     
    --2)向表插入数据，并对salary列的数据使用验证器进行加密
    open symmetric key sym_Salary decryption by password='p@ssw0rd'
    insert into empsalary values (1,'CEO',EncryptByKey(KEY_GUID('sym_Salary'),'20000',1,'1'))
    insert into empsalary values (2,'Manager',EncryptByKey(KEY_GUID('sym_Salary'),'10000',1,'2'))
    insert into empsalary values (3,'DB Admin',EncryptByKey(KEY_GUID('sym_Salary'),'5000',1,'3'))
     
    --3)解密并访问被加密的数据
    select empid,title,cast(DecryptByKey(Salary,1,cast(empid as varchar(3))) as varchar(20)) as salary from empsalary
     
    --4)用同样的方法篡改数据
    update empsalary 
    set salary=(select salary from empsalary where empid=1)
    where empid=3
     
    --5)被篡改后的加密了的数据列变成无效
    select empid,title,cast(DecryptByKey(Salary,1,cast(empid as varchar(3))) as varchar(20)) as salary from empsalary
     
     
     
    --***********示例3 使用数字证书签署存储过程
     
    --*****(1)准备
    --1)创建数据库主密钥
    create master key encryption by password='p@ssw0rd'
     
    --2)创建签署存储过程所需要的证书
    create certificate cert_Product
    with subject='Products Sign',
    start_date='1/31/2006',
    expiry_date='1/31/2008'
    go
     
    --3)创建SPDeveloper登录帐户和用户，该用户创建并访问Products表的存储过程
    create login [SPDeveloper] with password='p@ssw0rd',default_database=[TestDB]
    go
    create user [SPDeveloper] for login SPDeveloper with default_schema=[SPDeveloper]
    go
    create schema products authorization SPDeveloper
    go
    exec sp_addrolemember @rolename='db_owner',@membername='SPDeveloper'
     
    --4)以SPDeveloper的身份创建存储过程products.usp_Products
    execute as user='SPDeveloper'
    go
    create procedure products.usp_Products
    as
    select * from dbo.Products
    go
     
    revert
    select user
     
    --5)创建普通用户jerry
    create login [jerry] with password='p@ssw0rd',default_database=[TestDB]
    go
    create user [jerry] for login jerry 
    go
     
    --*******(2)使用证书签署存储过程
    --1)授予用户jerry执行存储过程的权限
    grant execute on products.usp_Products to jerry
     
    --2)以jerry的身份执行存储过程失败，因为拥有权链的断裂的
    execute as user='jerry'
    select user
    go
     
    execute products.usp_Products
    go
    revert
     
    --3)使用证书在当前数据库创建用户ProductsReader,并为该用户赋予读取products表的权限
    create user ProductsReader for certificate cert_Products
    go
    grant select on products To ProductsReader
     
    --4)使用证书签署当前存储过程
    add signature to products.usp_Products by certificate cert_Products
     
    --5)以jerry的身份重新执行存储过程，成功
    --因为存储过程将以ProductsReader的权限上下文执行
    execute as user='jerry'
    select user
    go
     
    execute products.usp_Products
    go
    revert本文来自CSDN博客，转载请标明出处：http://blog.csdn.net/fredrickhu/archive/2009/09/20/4574249.aspx