SQL Server 2005单元级加密和SQL Server 2008 透明数据加密

SQL Server 2005 引入了在自身的数据库引擎中加密的功能。通过使用被数据库所管理的内部证书或密钥结构，这能够被用于加密和解密任意的数据。而不需要借助外部的证书或密钥来执行。

SQL Server 提供了内置的容易的加密和解密数据的功能，是通过证书、不对称密钥或对称密钥来实现的。管理了内部所有的证书存储。这些存储使用了分层次的加密，安全证书和密钥在一个级别层次之上。这些SQL Server 2005 的特性被称之为Secret Storage。

通过内部API实现的最快的加密模式是堆成密钥加密。这种模式适合处理大量的数据。对称加密密钥通过X509.v3证书被加密存储。

SQL Server 2005 支持一些对称加密的算法。这些算法在Windows Crypto API中被执行。

在数据库连接区域中，SQL Server 2005 能够保持多种开放式对称密钥。通过“解开”，密钥 被从存储中重新得到，并被准备好了用于加密数据。当一部分数据被加密时，不需要指定使用对称密钥，取而代之的是，如果当前密钥被解密和解开了，这些加密字节引擎自动流向解开的对称密钥。这个密钥被用于解密和还原数据。如果当前密钥是不解开的，则返回值为空。

“解开”密钥的能力需要直接访问密钥上的访问控制列表ACL。

给予SQL Server 2005 这种加密机制的支持，有以下几种方法。

1. 为每个特定的在数据库中被用于标记数据的表建立一个对称密钥。

2. 通过相应的密钥在标签单元中加密数据。

3. 通过被解开用户标签的映射标签的密钥来控制访问密钥。提供了简单的在建立连接时解开所有密钥的方法。

4. 使用在基本表上的视图，包括在SELECT语句中调用加密API来定义这个视图。

以下有一个简单的例子来显示如何定义这个视图。

CREATE VIEW MyTable

AS

SELECT ID,

DecryptByKey(SensitiveData),

DecryptByKey(OtherSensitiveData),

NonSensitiveData,

FROM BaseTable

GO

给出了这种方法，让我们看看在用户选择了这个视图时发生了什么。被映射到标签的用户能够访问的所有密钥都被解开了。因此，带有标签的所有单元在SELECT 语句被执行的时候都将会被解密。相反地，被映射到标签的用户不能够访问的所有密钥将不会被解开。当SELECT语句被执行的时候，带有这些标签的单元返回空值，不会为用户提供任何在单元中的数据信息。 这种方法完成了细节，动态控制了我们查询的相关表中的数据。具体参见http://www.microsoft.com/china/technet/prodtechnol/sql/2005/sql2005cls.mspx

SQL Server 2008中的透明数据加密(TDE)，可以选择同SQL Server 2005中一样使用单元级的加密，或者是使用TDE进行完全数据库级加密、或者是由Windows提供的文件级加密。它旨在为整个数据库提供静态保护而不影响现有的应用程序。对数据库进行加密，传统上都会涉及复杂的应用程序改动，例如修改表schemas、删除函数和明显的性能下降。

透明数据加密可以为加密数据提供更高的灵活性，因为对其而言加密是数据库的一个属性，而非仅仅是代码行中的函数结果。这样在数据级执行加密时，管理员就无需对其数据库结构和应用程序代码进行大量的改动。下面的代码显示的是如何使用透明数据加密方法来加密数据库。

USE master;
GO

--Create a master key
CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'YouWillNeedToCreateAStrongPassword';
GO

--Create a certificate to use with TDE
CREATE CERTIFICATE TDECERT WITH SUBJECT = 'TDECert'
GO

--Change to the database to encrypt
USE AdventureWorks
GO

--Create your database master key
CREATE DATABASE ENCRYPTION KEY
WITH ALGORITHM = AES_128 --Use a strong algorithm
ENCRYPTION BY SERVER CERTIFICATE TDECERT
GO

--Alter the database to encrypt it with the
--master database key
ALTER DATABASE AdventureWorks
SET ENCRYPTION ON
GO