SQL Server-Kryptering Forklart: TDE, Kryptering på Kolonnenivå og Mer
databeskyttelse er avgjørende for å sikre at organisasjonen din er i samsvar med forskriftsmessige samsvarsstandarder som GDPR og for å møte forventningene til kundene og forretningspartnerne dine. Ikke bare kan data brudd resultere i store bøter, men omdømme skade kan være like stor. For Å hjelpe, Støtter Microsoft SQL Server 5 forskjellige typer kryptering for å beskytte data. Denne artikkelen forklarer hver av dem og hvor de skal brukes.
SSL – Transportkryptering
SOM nettsteder som sikrer trafikk mellom nettleser og server, KAN SQL Server konfigureres til Å bruke Secure Sockets Layer (SSL) til å kryptere trafikk når den går mellom serverforekomsten og klientprogrammet. I tillegg kan klienten validere serverens identitet ved hjelp av serverens sertifikat. SSL beskytter bare data når den beveger seg over nettverket, men I motsetning til de fleste andre FORMER FOR SQL Server-kryptering, ER SSL tilgjengelig i alle støttede versjoner AV SQL Server og i alle utgaver.
FØR DU aktiverer SSL, må du installere et sertifikat PÅ SQL Server. Den beste måten å gjøre dette på er å be om et sertifikat fra din egen enterprise certification authority (CA). Windows Server kan konfigureres SOM EN CA, og du kan konfigurere klienter slik at de stoler på sertifikatene som det utsteder. Alternativt er det mulig å bruke selvsignerte sertifikater, selv om dette er best egnet til testmiljøer.
SQL Server Transparent Data Encryption (TDE)
Transparent Data Encryption (TDE) i SQL Server beskytter data i ro ved å kryptere databasedata og loggfiler på disken. Det fungerer transparent til klient eksisterende applikasjoner, slik at de ikke trenger å endres når TDE er aktivert. TDE bruker sanntidskryptering på sidenivå. Sidene er kryptert før de skrives til disk, uten å øke størrelsen på dine data og loggfiler, og sidene er dekryptert når leses i minnet. TDE er bare tilgjengelig I Enterprise-utgaver AV SQL Server. Det fungerer også For Azure SQL Database, Azure SQL Data Warehouse og Parallel Data Warehouse.
TDE kryptering har en hierarkisk struktur, Med Windows Data Protection API (DPAPI) sitter på toppen av hierarkiet og blir brukt til å kryptere service master key (SMK). DU kan bruke SMK til å kryptere legitimasjon, koblede serverpassord og database master keys (DMKs) som ligger i forskjellige databaser. EN SQL DMK er en symmetrisk nøkkel som beskytter de private nøklene til sertifikater og asymmetriske nøkler lagret i databaser.
SQL Server kan generere selvsignerte sertifikater for BRUK MED TDE, eller du kan be om et sertifikat fra EN CA (som er den vanligste tilnærmingen). Hvis DU bestemmer deg for å aktivere TDE, må du sikkerhetskopiere sertifikatet og den private nøkkelen som er knyttet til sertifikatet. Du må gjenopprette eller legge ved databasen på en ANNEN SQL Server. Hvis DU aktiverer TDE på en ANNEN SQL Server-database, krypteres også tempdb-systemdatabasen. Hvis DU deaktiverer TDE, bør du beholde sertifikatet og den private nøkkelen fordi deler av transaksjonsloggen kan forbli kryptert til du utfører en fullstendig sikkerhetskopiering.
TDE krever også EN DATABASEKRYPTERINGSNØKKEL (DEK), som enten er en symmetrisk nøkkel som er beskyttet ved hjelp av et sertifikat som er lagret i hoveddatabasen, eller en asymmetrisk nøkkel som er beskyttet av EN tjeneste som bruker Ekm (Extensible Key Management), For Eksempel Microsoft Azure Key Vault. Sikkerhetskopifiler AV tde-aktiverte databaser krypteres ved HJELP AV DEK, så under gjenopprettingsoperasjoner må sertifikatet som beskytter DEK være tilgjengelig.Symmetriske nøkler bruker det samme passordet til å kryptere og dekryptere data. Asymmetriske nøkler bruker ett passord for å kryptere data (offentlig nøkkel) og et annet passord for å dekryptere data (privat nøkkel). DU kan bruke KOMMANDOEN OPPRETT SERTIFIKAT til å opprette sertifikater, OG KOMMANDOENE OPPRETT SYMMETRISK NØKKEL Og OPPRETT ASYMMETRISK Nøkkel Transact-SQL til å opprette databasekrypteringsnøkler.
Backup Kryptering
Backup Kryptering fungerer som TDE, men krypterer SQL backup i stedet for de aktive data og loggfiler. Sikkerhetskopieringskryptering er tilgjengelig I SQL Server 2014 og nyere. Du kan angi aes 128, AES 192, Aes 256 eller Triple DES kryptering, og bruke enten et sertifikat eller asymmetrisk nøkkel lagret I EKM. I tillegg er DET mulig å aktivere TDE Og Backup Kryptering samtidig, selv om du bør bruke forskjellige sertifikater eller nøkler.
på SAMME MÅTE som MED TDE, må du også sikkerhetskopiere sertifikatet eller nøkkelen hvis Du aktiverer Sikkerhetskopieringskryptering. Uten nøkkelen eller sertifikatet kan ikke sikkerhetskopifilen brukes til å gjenopprette data. Sikkerhetskopier kan også krypteres når DU bruker SQL Server Managed Backup Til Microsoft Azure.
det er verdt å merke seg at hvis du bruker et sertifikat for å kryptere sikkerhetskopier, må du ha det opprinnelige sertifikatet når du gjenoppretter data. Det betyr at sertifikatet må ha samme avtrykk som da sikkerhetskopien ble opprettet. Fornyelse av sertifikater eller endring av dem på noen måte kan føre til at avtrykket endres.
Kryptering På Kolonnenivå
tilgjengelig i ALLE VERSJONER AV SQL Server, kan kryptering på cellenivå aktiveres på kolonner som inneholder sensitive data. Dataene krypteres på disken og forblir kryptert i minnet til DECRYPTBYKEY-funksjonen brukes til å dekryptere den. DERFOR, selv OM SQL-dataene er kryptert, er DET ikke sikkert utover bare å bruke en funksjon i brukerkonteksten for å dekryptere den. I tillegg, fordi en funksjon er nødvendig for å dekryptere dataene, må klientprogrammer endres for å fungere med kryptering på cellenivå.
Krypteringsnøkkelbehandling
som MED TDE må du opprette en hovednøkkel (DMK) før du bruker kryptering på cellenivå. Du kan bruke en passordfrase til å kryptere og dekryptere dataene, men du må kryptere lagrede prosedyrer og funksjoner; ellers kan passordet nås i metadataene.Asymmetriske taster gir sterk sikkerhet, men kan ha en innvirkning på ytelsen.Symmetriske nøkler er vanligvis sterke nok og gir en god balanse mellom sikkerhet og ytelse.
Alltid Kryptert
Alltid Kryptert krypterer sensitive data i klientprogrammer uten å avsløre krypteringsnøklene til databasemotoren, og gir separasjon mellom dataeiere og dataansvarlige. Med Alltid Kryptert aktivert kan Du for Eksempel være sikker på at databaseadministratorene ikke kan lese sensitive data. Som navnet antyder, er data kryptert i ro og hvis de brukes i et tredjepartssystem, for Eksempel Azure.Alltid Kryptert kan konfigureres for individuelle databasekolonner. To typer nøkler brukes: kolonne krypteringsnøkler og kolonne hovednøkler. Kolonnekrypteringsnøkler beskytter data i en kolonne, og kolonnemasternøkler er nøkkelbeskyttende nøkler som krypterer en eller flere kolonnekrypteringsnøkler. Kolonnemasternøkler lagres i eksterne klarerte nøkkellagre, for Eksempel Azure Key Vault.
krypteringsprosessen er gjennomsiktig for klientprogrammer, men krever en spesiell driver på klientdatamaskiner. Alltid Kryptert er tilgjengelig I SQL Server 2016 og nyere, men bare I Enterprise-utgaver. På grunn av de ekstra klientsiden krav, Always Encrypted er best egnet til situasjoner der separasjon av data eiere og ledere er en primær krav.
