電子檔案服務器數據庫邏輯加密的研究

【摘 要】研究適用于電力行業(yè)數據庫的機密數據保護技術，針對海量數據信息設計一種安全有效的加密島機制，對敏感數據實施安全保護。同時，研究低耦合邏輯加密機技術，實現安全管理與數據庫管理分離，實現兼容多種加密機制和裝置的可擴展性，針對電力企業(yè)應用研發(fā)一套高效實用的數據庫邏輯加密系統(tǒng)。

【關鍵詞】電力行業(yè) 電子檔案 數據庫 加密

一、選題背景

電力行業(yè)信息系統(tǒng)具有數據量大，信息管理邏輯復雜等特點。保護數據庫中的敏感信息不被泄露，不僅關系到信息管理系統(tǒng)自身的安全，甚至關系到地市乃至國家電力基礎設施的安全。

目前商用數據庫管理系統(tǒng)所提供的加密機制存在的加解密操作對上層應用不透明、安全管理員與DBA權限不分離、缺乏獨立的密鑰管理機制等問題，這些問題限制了電力行業(yè)信息化建設的進一步推進。因此，本項目將設計并實現一套數據庫邏輯加密機系統(tǒng)，它作用于上層應用與數據庫系統(tǒng)之間，提供透明的數據加解密服務和獨立的密鑰管理機制，實現加密管理與DBA權限的分離，彌補了現有數據庫管理系統(tǒng)加密機制的不足，具有較高的實用價值。

二、國內外研究概況

（一）國外研究概況

國外在數據庫加密技術方面的研究工作集中在密文檢索、密鑰更新和查詢優(yōu)化等典型研究方向。研究成果多以學術研究為目的，實用性不強。國外公司研發(fā)的數據庫安全產品多因密碼進口限制政策而無法被我國使用。

（二）國內研究概況

國內在新型數據庫加密技術方面的研究工作起步較晚，中科院軟件所研制的數據庫加密中間件系統(tǒng)實現了權限分離和數據加密等功能，但研究工作以學術研究為導向，其僅適用于Ingres數據庫系統(tǒng)，并未支持商用數據庫軟件。

三、電子檔案服務器數據庫邏輯加密系統(tǒng)

（一）邏輯加密的組成部分

邏輯加密機的邏輯部分由三個方面組成：管理程序，守護進程和DBMS擴展組件。圖1為系統(tǒng)總體邏輯結構圖。

管理程序運行于獨立的安全管理主機上，由安全管理員使用圖形化用戶接口進行操作，管理程序是邏輯加密機的操作接口。其開發(fā)平臺和編程語言是數據庫無關的，不受宿主數據庫種類的限制。管理程序需要使用USB KEY或者其他硬件安全密碼裝置保存根密鑰或主密鑰。

守護進程運行在DBMS的服務器主機上，負責密鑰訪問控制與緩存，是密鑰訪問控制判定的實施部件，同時提供密鑰合法使用前的解密和緩存服務。守護進程的另一個作用是可以主動對數據庫做監(jiān)控操作。

DBMS擴展組件是注冊到數據庫中的函數、存儲過程、視圖、觸發(fā)器等數據庫對象以及函數對象的實現函數庫，其中存儲過程和觸發(fā)器等組件使用DBMS的可編程SQL語言實現。 SQL函數擴展代碼的加密接口部分進一步調用底層的通用DLL函數完成對加密硬件或具體加密模塊的調用，最終執(zhí)行數據的實際加密解密操作。

（二）組成部分間的關系

組成部分包括：管理程序，帶加解密服務包的DBMS，本地服務器。

1.管理程序與DBMS間的交互

管理程序對DBMS的操作主要是對存放在宿主數據庫中的元數據進行修改以及對DBMS對象的操作。

管理程序對DBMS的操作是通過向其發(fā)送標準的SQL語句實現的。具體的數據庫接口實現方式可以使用標準數據庫驅動程序，實現技術的選擇主要依賴于管理程序的實現技術、編程語言、平臺要求等。

2.管理程序與守護進程間的交互

管理程序對守護進程的操作的目的是控制守護進程的工作開關。通過遠程控制守護進程工作開關，可以停止或恢復守護進程對DBMS密鑰請求的響應。實現方式使用Socket方式，管理程序向守護進程發(fā)送字串指令，字串內容、格式以及認證協議需要設計，通信安全由管理程序與守護進程共享的密鑰保證。

3.DBMS擴展部分與守護進程間的交互

DBMS與守護進程之間的交互包含兩部分：第一部分是DBMS擴展函數實現與守護進程之間的交互，第二部分是守護進程對元數據的讀取操作。

DBMS擴展函數的實現部分通過其通信接口向守護進程發(fā)出密鑰請求，該請求包含的主要信息是當前會話的用戶名和所要訪問的表。守護進程對密鑰請求處理后使用通信接口向DBMS擴展函數返回密鑰和加密配置信息。DBMS的密鑰請求的合法性判斷由守護進程的其他模塊完成，如果請求合法，守護進程所返回給DBMS的密鑰可以用來解密數據，加密配置信息用來確定解密設備和參數選擇；如果請求不合法，守護進程將返回隨機密鑰，從而使得非授權用戶得到的數據是無意義的密文。

四、功能的實現及應用前景

（一）功能的實現

1.安全管理與配置：將安全管理員與數據庫管理員的權限完全分離。只有登錄邏輯加密機管理程序的安全管理員能夠操作邏輯加密機并使用以下功能：對數據庫中的表實施、撤銷和修改加密保護策略；管理數據庫的加密密鑰，保存歷史密鑰；維護元數據信息等。DBA原有權限不變；

2.實現用戶的透明訪問：實施加密保護之后，普通用戶需要能有以幾乎透明的方式訪問數據庫，即：不需要修改前端應用程序就能夠訪問數據庫。

3.實現高速的加密解密：盡可能減少加密解密操作對數據庫查詢相應時間的影響；

4.實現高可擴展性：通過高度的模塊化設計實現底層加密算法和加密設備的靈活替換，擴展與配置，允許軟件在運行過程中注冊新的加密設備和加密模塊，能方便的更新加密算法。

（二）應用前景

電力行業(yè)信息化程度的提高使得信息安全保護問題日趨凸顯。信息安全已經成為有效開展生產經營活動的必要保證。結合電力行業(yè)信息管理特點，電子檔案服務器數據庫邏輯加密系統(tǒng)能夠為電力行業(yè)信息系統(tǒng)提供更為安全、靈活的數據保護技術基礎和解決方案，對于促進電力行業(yè)信息化的進一步發(fā)展具有積極的促進作用。

作者簡介：

郭林毅，男，1971年11月24日生人，工程師，現從事信息通信運行維護管理工作，內蒙古超高壓供電局信息通信處。