Matarialize中文社区-Oracle 数据加密：透明数据加密（TDE）与安全连接配置

Oracle 数据加密：透明数据加密（TDE）与安全连接配置

孤岛中的灯塔 2024-12-26 09:49:15

74 透明数据加密（TDE）,安全连接配置专栏

随着数据安全性的重要性日益提高，数据库的加密技术已成为保护敏感信息的重要手段。在Oracle中，提供了多种数据加密机制以满足不同的业务需求，其中透明数据加密（TDE）和传输加密（SSL/TLS安全连接）是核心内容。本博客将详细介绍Oracle数据加密技术的基本原理、使用方法及其实际应用场景。

1. 什么是数据加密？

数据加密是指通过密码学技术对数据进行转换，使其在未经授权的情况下无法被解读。在数据库领域，主要包括：

静态数据加密：对存储在数据库中的数据进行加密保护。
传输数据加密：在客户端与数据库服务器之间的通信中对数据进行加密，以防止网络窃听。

2. 透明数据加密（TDE）

TDE的基本概念

透明数据加密（Transparent Data Encryption, TDE）是Oracle提供的一种用于保护静态数据的加密技术。TDE可以加密表空间或特定的列，使数据在磁盘上的存储是加密的，而对于经过授权的应用程序和用户，读取和操作数据无需额外修改代码。

TDE的特点：

透明性：对应用程序完全透明，无需更改代码。
高性能：通过硬件加速和优化算法实现高效加密。
密钥管理：使用Oracle的密钥库（Wallet）管理加密密钥。

配置TDE的步骤

启用密钥库（Wallet）
Oracle使用密钥库存储加密密钥。首先需要配置并启用密钥库。
创建加密表空间或列
可以选择加密整个表空间，也可以加密特定的列。
管理加密密钥
使用ADMINISTER KEY MANAGEMENT命令管理密钥。

示例：表空间加密与列级加密

1. 启用密钥库（Wallet）

配置Oracle密钥库：

# 配置密钥库路径
ALTER SYSTEM SET ENCRYPTION WALLET OPEN IDENTIFIED BY 'your_wallet_password';

2. 创建加密的表空间

CREATE TABLESPACE encrypted_tbs 
DATAFILE '/u01/app/oracle/oradata/encrypted_tbs.dbf' SIZE 100M
ENCRYPTION USING 'AES256'
DEFAULT STORAGE (ENCRYPT);

3. 创建包含加密列的表

CREATE TABLE sensitive_data (
    id NUMBER,
    credit_card VARCHAR2(19) ENCRYPT USING 'AES256'
);

4. 查看加密状态

SELECT tablespace_name, encrypted 
FROM dba_tablespaces 
WHERE tablespace_name = 'ENCRYPTED_TBS';

3. 传输加密与安全连接

传输加密主要通过SSL/TLS实现，保护客户端与数据库服务器之间的通信。

配置SSL/TLS安全连接

1. 配置服务器端

生成SSL证书
使用Oracle提供的orapki工具生成自签名证书或从证书颁发机构（CA）获取证书。

orapki wallet create -wallet /u01/app/oracle/admin/wallet -pwd my_wallet_pwd -auto_login
orapki wallet add -wallet /u01/app/oracle/admin/wallet -dn "CN=oracle-server" -keysize 2048 -self_signed -validity 365

启用SSL支持
编辑sqlnet.ora文件：

SSL_VERSION = 1.2
WALLET_LOCATION = (SOURCE=(METHOD=FILE)(METHOD_DATA=(DIRECTORY=/u01/app/oracle/admin/wallet)))
SSL_CIPHER_SUITES = (SSL_RSA_WITH_AES_256_CBC_SHA256)

重启监听器
修改listener.ora文件以支持SSL连接：

LISTENER =
    (ADDRESS = (PROTOCOL = TCPS)(HOST = your-hostname)(PORT = 2484))

启动监听器：

lsnrctl start

2. 配置客户端

编辑客户端的tnsnames.ora文件以支持SSL连接：

MYDB_SSL =
  (DESCRIPTION =
    (ADDRESS = (PROTOCOL = TCPS)(HOST = your-hostname)(PORT = 2484))
    (CONNECT_DATA =
      (SERVICE_NAME = mydb_service)
    )
    (SECURITY =
      (SSL_SERVER_CERT_DN = "CN=oracle-server")
    )
  )