博客

Oracle 透明數據加密提供了實施加密所必需的關鍵管理基礎架構。加密的工作原理是將明文數據以及秘密(稱作密鑰)傳遞到加密程序中。加密程序使用提供的密鑰對明文數據進行加密，然後返回加密數據。以往，創建和維護密鑰的任務由應用程序完成。 Oracle透明數據加密通過為整個數據庫自動生成一個萬能密鑰解決了此問題。在啟動 Oracle 數據庫時，管理員必須使用不同於系統口令或DBA 口令的口令打開一個Oracle Wallet 對象。然後，管理員對數據庫萬能密鑰進行初始化。萬能密鑰是自動生成的。

 
性能：

由於索引數據未被加密，因此加密通常會影響現有的應用程序索引。 Oracle 透明數據加密對與給定應用程序表關聯的索引值進行加密。這意味著應用程序中的相等搜索對性能的影響很小，甚至沒有任何影響。例如，假設應用程序card_id 存在一個索引，並且此應用程序執行以下語句：
SQL> Select cash from credit_card where card_id = ‘1025023590’;
Oracle 數據庫將使用現有的應用程序索引，儘管card_id 信息已經在數據庫中加密。
 準備用於加密的數據庫：

 
在本部分內容中，您將更新sqlnet.ora、創建一個加密錢夾(ewallet.p12)、打開此錢夾並為 TDE 創建萬能密鑰。執行以下操作：
1. 您需要更新sqlnet.ora 文件以包含一個ENCRYPTED_WALLET_LOCATION 條目。打開一個終端窗口，然後輸入以下命令：
cd $ORACLE_HOME/network/admin
gedit sqlnet.ora
connect / as sysdbaalter system set key identified by “welcome1”;
此命令的作用為：
l 如果指定的目錄中不存在加密錢夾，則將創建加密錢夾(ewallet.p12)、打開此錢夾並創建/重新創建 TDE 的萬能密鑰。
l 如果指定目錄中存在加密錢夾，則將打開此錢夾並創建/重新創建TDE 的萬能密鑰。
之後，就可以測試數據了。

下面是實驗記錄：
alter system set key identified by “welcome1”;
SQL> conn dodd/dodd123
create table test (id number,credit_card_number varchar2(16) ENCRYPT NO SALT);
SQL> insert into test values(1,’1231243242′);
1 row created.
SQL> insert into test values(2,’33245235′);
SQL> commit;
Commit complete.
SQL> select * from test;
ID CREDIT_CARD_NUMB
———- —————-
1 1231243242
2 33245235
可見，數據查看是明文，因為這個時候，加密錢夾已經打開，數據可以解密。 2. 接下來，您需要打開錢夾並創建萬能加密密鑰。從終端窗口中，輸入以下命令： 將以下條目添加到文件末尾：
ENCRYPTION_WALLET_LOCATION=(SOURCE=(METHOD=FILE)(METHOD_DAT
A=(DIRECTORY=/opt/oracle/admin/test97/wallet/)))
如果不加這一項的話，則會提示下面錯誤：
SQL>altersystemsetkeyidentifiedby”hurray”
2;
altersystemsetkeyidentifiedby”hurray”
*
ERRORatline1:
ORA-28368:cannotauto-createwallet
/opt/oracle/admin/test97/wallet/ 目錄是用來存放生成的錢夾的。可以為加密錢夾選擇任何目錄，但路徑不應指向在數據庫安裝過程中創建的標準模糊錢夾 (cwallet.sso)。

 
這時，停止數據庫，再打開：
SQL> shutdown immediate
Database closed.
Database dismounted.
ORACLE instance shut down.
SQL> SQL> startup
ORACLE instance started.
Total System Global Area 524288000 bytes
Fixed Size 1979968 bytes
Variable Size 138414528 bytes
Database Buffers 377487360 bytes
Redo Buffers 6406144 bytes
Database mounted.
Database opened.
SQL> select * from dodd.test;
select * from dodd.test
*
ERROR at line 1:
ORA-28365: wallet is not open
SQL> select id from dodd.test;
ID
———-
1
2
可以看到，因為數據庫重啟後，加密錢夾處於關閉狀態，這時只要查詢到加密的列，會提示加密錢夾沒有打開。
如果用戶想打開錢夾，必須具有alter system 權限。下面打開wallet：
SQL> conn / as sysdba
Connected.
SQL> alter system set wallet open identified by “welcome1”;
System altered.
SQL> conn dodd/dodd123
Connected.
SQL> select * from test;
ID CREDIT_CARD_NUMB
———- —————-
1 1231243242
2 33245235
可以看到，加密錢夾打開後，數據可以被解密。
還有一條：sys 用戶的表不能被加密。
可見：Oracle TDE 是在數據層面上對錶裡的數據加密，而且不會影響數據庫現有的權限控制策略。

salt 實際上就是在加密過程中引入一個隨機性。簡單的說，就是一般來說，同樣的明文產生同樣的密文，這樣就導致容易被解密者通過分析詞頻之類的方式(加解密我不太懂)來通過密文破解明文，如果指定salt，那麼即使同樣的明文加密後的密文也是不一樣的。no salt 的話，自然就是相同的明文會產生相同的密文了。對於索引來說，要求no salt 也就可以理解了
丟失ewallet 加密錢夾的話，是不能再解密數據的。
Oracle 10gR2 的TDE 特性，對於防止機密信息的洩漏能起到事半功倍的作用!
–The End–