2. 程式人生 > 實用技巧 >sql server使用對稱祕鑰實現列加密

sql server使用對稱祕鑰實現列加密

阿新 • • 發佈：2020-09-01

摘要

上一篇月報，我們分享了SQL Server使用對稱祕鑰實現列加密的方法。為了解決對稱加密安全性低的問題，本期月報我們分享使用非對稱祕鑰加密方式實現SQL Server列加密方法，保護使用者的關鍵、核心隱私資料列資訊。

場景引入

對稱加密是指加密和解密過程使用同一個金鑰的加密演算法，而非對稱加密方法加密和解密過程使用不同的祕鑰進行。因此，通常來說對稱加密安全性較弱，非物件加密安全性相對較高。以下是關於對稱加密和非對稱加密的過程介紹。

對稱加密過程

對稱加密演算法使用相同的祕鑰對資料進行加密，如下圖所示：

對稱加密資料整個流轉過程包括：

資料傳送者使用祕鑰將資料明文加密為密文

通過網路將資料密文和祕鑰傳送給接受者

接受者使用相同祕鑰對密文進行解密，獲取到最終的明文資料

從資料整個流轉過程來看，很可能用於加密的祕鑰會被竊取，比如：

網路傳輸過程中，祕鑰很可能被竊取

竊取者有可能使用大資料分析手段，窮舉出密文資料規律，分析出加密演算法

因此，對稱加密祕鑰存在被竊取的可能，安全性相對較弱。

非對稱加密過程

與對稱加密方式不同，非對稱加密演算法使用不同的祕鑰對資料進行加密和解密，用於加密的祕鑰叫公鑰，用於解密的祕鑰叫私鑰。因此安全性更高，如下圖所示：非對稱加密整個資料流轉的過程包括：

資料接受者首先生成公鑰和私鑰，然後將公鑰傳送給資料傳送者（圖中未畫出）

資料傳送者使用公鑰對明文進行加密為密文

通過網路將密文傳送給資料接受者

資料接受者獲取到密文，使用私鑰對資料進行解密，獲取到最終明文資料

非對稱加密整個資料流轉過程中，私鑰根本沒有在網路上進行傳遞，因此不存在被竊取的可能性，安全性更高。

非對稱祕鑰列加密

因此，本篇月報，在上一期月報MSSQL · 最佳實踐 · 使用對稱祕鑰實現列加密的基礎上，使用非對稱祕鑰方式實現SQL Server列加密技術。以下是使用非對稱祕鑰實現SQL Server列加密的詳細實現。

具體實現

在SQL Server 2005及以後版本，在支援對稱祕鑰實現列加密的同時，也同樣支援非對稱祕鑰實現列加密，以下是使用非對稱祕鑰加密使用者手機號碼的具體實現步驟以及詳細過程。

建立測試資料庫

建立一個專門的測試資料庫，名為：TestDb。

--Step 1 - Create MSSQL sample database
USE master
GO
IF DB_ID('TestDb') IS NOT NULL
	DROP DATABASE [TestDb];
GO
CREATE DATABASE [TestDb];
GO

建立測試表

在TestDb資料庫下，建立一張專門的測試表，名為：CustomerInfo。

--Step 2 - Create Test Table, init data & verify
USE [TestDb]
GO
IF OBJECT_ID('dbo.CustomerInfo', 'U') IS NOT NULL
	DROP TABLE dbo.CustomerInfo
CREATE TABLE dbo.CustomerInfo
(
CustomerId		INT IDENTITY(10000,1)	NOT NULL PRIMARY KEY,
CustomerName	VARCHAR(100)			NOT NULL,
CustomerPhone	CHAR(11)				NOT NULL
);

-- Init Table
INSERT INTO dbo.CustomerInfo 
VALUES ('CustomerA','13402872514')
,('CustomerB','13880674722')
,('CustomerC','13487759293')
GO

-- Verify data
SELECT * 
FROM dbo.CustomerInfo
GO

原始資料中，使用者的電話號碼為明文儲存，任何有許可權查看錶資料的使用者，都可以清楚明瞭的獲取到使用者的電話號碼資訊，展示如下：

建立例項級別Master Key

在SQL Server資料庫例項級別建立Master Key（在Master資料庫下，使用CREATE MASTER KEY語句）：

-- Step 3 - Create SQL Server Service Master Key
USE master;
GO
IF NOT EXISTS(
	SELECT *
	FROM sys.symmetric_keys
	WHERE name = '##MS_ServiceMasterKey##')
BEGIN
	CREATE MASTER KEY ENCRYPTION BY 
	PASSWORD = 'MSSQLSerivceMasterKey'
END;
GO

建立資料庫級別Master Key

在使用者資料庫TestDb資料庫下，建立Master Key：

-- Step 4 - Create MSSQL Database level master key
USE [TestDb]
GO
IF NOT EXISTS (SELECT * 
				FROM sys.symmetric_keys 
				WHERE name LIKE '%MS_DatabaseMasterKey%')
BEGIN		
	CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'TestDbMasterKey@3*';
END
GO

建立非對稱祕鑰

在使用者資料庫下，建立非對稱祕鑰，並使用密碼進行加密：

-- Step 5 - Create MSSQL Symmetric Key
USE [TestDb]
GO
IF NOT EXISTS (SELECT * 
				FROM sys.asymmetric_keys 
				WHERE name = 'AsymKey_TestDb')
BEGIN
	CREATE ASYMMETRIC KEY AsymKey_TestDb 
	WITH ALGORITHM = RSA_512 
	ENCRYPTION BY PASSWORD = 'Password4@Asy'
	;
END
GO

檢視非對稱祕鑰

您可以使用如下查詢語句檢視非對稱祕鑰：

USE [TestDb]
GO
SELECT *
FROM  sys.asymmetric_keys

結果展示如下：

當然，您也可以用SSMS圖形介面來檢視證書和非對稱祕鑰物件，方法是在使用者資料庫下，開啟Security => Certificates => Asymmetric Keys，如下圖所示：

修改表結構

接下來，我們需要修改表結構，新增一個數據型別為varbinary(max)的新列，假設列名為EncryptedCustomerPhone ，用於儲存加密後的手機號碼密文。

-- Step 6 - Change your table structure
USE [TestDb]
GO 
ALTER TABLE CustomerInfo 
ADD EncryptedCustomerPhone varbinary(MAX) NULL
GO

新列資料初始化

新列新增完畢後，我們將表中歷史資料的使用者手機號CustomerPhone，加密為密文，並存儲在新欄位EncryptedCustomerPhone中。方法是使用EncryptByAsymKey函式加密CustomerPhone列，如下語句所示：

-- Step 7 - init the encrypted data into the newly column
USE [TestDb]
GO 
UPDATE A
SET EncryptedCustomerPhone = ENCRYPTBYASYMKEY(ASYMKEY_ID('AsymKey_TestDb'), CustomerPhone)
FROM dbo.CustomerInfo AS A;
GO
-- Double check the encrypted data of the new column
SELECT * FROM dbo.CustomerInfo

查看錶中EncryptedCustomerPhone列的資料，已經變成CustomerPhone非對稱加密後的密文，如下展示：

檢視加密資料

手機號被加密為密文後，我們需要使用DecryptByAsymKey函式將其解密為明文，讓我們嘗試看看能否成功解密EncryptedCustomerPhone欄位。

-- Step 8 - Reading the SQL Server Encrypted Data
USE [TestDb]
GO 

-- Now, it's time to list the original phone, encrypted phone and the descrypted phone.
SELECT 
	*,
	DescryptedCustomerPhone = CONVERT(CHAR(11), DECRYPTBYASYMKEY(ASYMKEY_ID('AsymKey_TestDb'), EncryptedCustomerPhone, N'Password4@Asy'))
FROM dbo.CustomerInfo;
GO

查詢語句執行結果如下，CustomerPhone和DescryptedCustomerPhone欄位資料內容是一模一樣的，因此加密和解密成功。

新增新資料

歷史資料加密解密後的資料保持一致，然後，讓我們看看新新增的資料：

-- Step 9 - What if we add new record to table.
USE [TestDb]
GO 

-- Performs the update of the record
INSERT INTO dbo.CustomerInfo (CustomerName, CustomerPhone, EncryptedCustomerPhone)
VALUES ('CustomerD', '13880975623', ENCRYPTBYASYMKEY( ASYMKEY_ID('AsymKey_TestDb'), '13880975623'));  
GO

更新資料手機號

接下來，我們嘗試更新使用者手機號：

-- Step 10 - So, what if we upadate the phone
USE [TestDb]
GO 
-- Performs the update of the record
UPDATE A
SET EncryptedCustomerPhone = ENCRYPTBYASYMKEY( ASYMKEY_ID('AsymKey_TestDb'), '13880971234')
FROM dbo.CustomerInfo AS A
WHERE CONVERT(CHAR(11), DECRYPTBYASYMKEY(ASYMKEY_ID('AsymKey_TestDb'), EncryptedCustomerPhone, N'Password4@Asy')) = '13880975623'
GO

刪除手機號明文列

一切沒有問題，我們可以將使用者手機號明文列CustomerPhone刪除：

-- Step 11 - Remove old column
USE [TestDb]
GO 
ALTER TABLE CustomerInfo
DROP COLUMN CustomerPhone;
GO

SELECT 
	*,
	DescryptedCustomerPhone = CONVERT(CHAR(11), DECRYPTBYASYMKEY(ASYMKEY_ID('AsymKey_TestDb'), EncryptedCustomerPhone, N'Password4@Asy'))
FROM dbo.CustomerInfo
GO

結果展示如下：

一切正常，歷史資料、新新增的資料、更新的資料，都可以工作完美。按理，文章到這裡也就結束。但是有一個問題我們是需要搞清楚的，那就是：如果我們新建立了使用者，他能夠訪問這個表的資料嗎？以及我們如何讓新使用者能夠訪問該表的資料呢？

新增新使用者

模擬新新增一個使用者EncryptedDbo:

-- Step 12 - Create a new user & access the encrypted data
USE [TestDb]
GO 
CREATE LOGIN EncryptedDbo
	WITH PASSWORD=N'EncryptedDbo@3*', CHECK_POLICY = OFF;
GO

CREATE USER EncryptedDbo FOR LOGIN EncryptedDbo;

GRANT SELECT ON OBJECT::dbo.CustomerInfo TO EncryptedDbo;
GO

新使用者查詢資料

使用剛才建立的使用者，在SSMS中新開啟一個新連線，查詢資料：

-- Step 13 -- OPEN a new connection query window using the new user and query data 
USE [TestDb]
GO

SELECT 
	*,
	DescryptedCustomerPhone = CONVERT(CHAR(11), DECRYPTBYASYMKEY(ASYMKEY_ID('AsymKey_TestDb'), EncryptedCustomerPhone, N'Password4@Asy'))
FROM dbo.CustomerInfo
GO

新使用者也無法解密EncryptedCustomerPhone，解密後的DescryptedCustomerPhone 欄位值為NULL，即新使用者無法檢視到使用者手機號明文，避免了未知使用者獲取使用者手機號等核心資料資訊。

為新使用者賦許可權

新使用者沒有檢視加密列資料的許可權，如果需要賦予許可權，方法如下：

--Step 14 - Grant permissions to EncryptedDbo
USE [TestDb]
GO

GRANT VIEW DEFINITION ON 
	ASYMMETRIC KEY::[AsymKey_TestDb] TO [EncryptedDbo];
GO
GRANT CONTROL ON 
	ASYMMETRIC KEY::[AsymKey_TestDb] TO [EncryptedDbo];
GO

新使用者再次查詢

賦許可權完畢後，新使用者再次執行“新使用者查詢資料”中的查詢語句，已經可以正常獲取到加密列的明文資料了。

-- Step 13 -- OPEN a new connection query window using the new user and query data 
USE [TestDb]
GO

SELECT 
	*,
	DescryptedCustomerPhone = CONVERT(CHAR(11), DECRYPTBYASYMKEY(ASYMKEY_ID('AsymKey_TestDb'), EncryptedCustomerPhone, N'Password4@Asy'))
FROM dbo.CustomerInfo
GO

再次查詢結果展示如下：

最後總結

本篇月報分享了對稱加密和非對稱加密的工作原理，以及如何利用SQL Server非對稱祕鑰實現列加密的方法，來保護使用者核心資料資訊保安。

相關推薦

sql server使用對稱祕鑰實現列加密

摘要 上一篇月報，我們分享了SQL Server使用對稱祕鑰實現列加密的方法。為了解決對稱加密安全性低的問題，本期月報我們分享使用非對稱祕鑰加密方式實現SQL Server列加密方法，保護使用者的關鍵、核心隱私資料列資訊。

sql server使用混合金鑰實現列加密

摘要 在SQL Server安全系列專題的上兩期月報分享中，我們分別分享了：如何使用對稱金鑰實現SQL Server列加密技術和使用非對稱金鑰加密方式實現SQL Server列加密。本期月報我們分享使用混合金鑰加密方式實現SQL Serv

sql server編寫通用指令碼實現獲取一年前日期的方法

問題： 　　在資料庫程式設計開發中，有時需要獲取一年前的日期，以便以此為時間的分界點，查詢其前後對應的資料量。例如：

SQL Server中Id自增列的最大Id是多少

bigint-2^63 (-9,223,372,036,854,775,808) 到 2^63-1(9,223,372,036,854,775,807)8 位元組 int-2^31 (-2,147,483,648) 到 2^31-1 (2,147,483,647)4 位元組

SQL Server搭建主從同步實現讀寫分離

一、概念簡介 1.1、基本概念 1）讀寫分離概念：是把對資料庫的讀操作和寫操作分離開。在一定程度上，讀寫分離可以緩解讀寫操作併發時產生鎖的問題。

【sql server安全】sql server列加密查詢效能問題及解決方案

摘要 在SQL Server安全系列專題月報分享中，我們已經分享了：如何使用對稱金鑰實現SQL Server列加密技術、使用非對稱金鑰加密方式實現SQL Server列加密和使用混合金鑰實現SQL Server列加密技術三篇文章。本期月報我們

md5加密解密程式碼_Python內建方法實現基於祕鑰的資訊加解密

技術標籤：md5加密解密程式碼md5解密程式碼python md5解密 點選關注州的先生 精彩不容錯過

sql server使用臨時儲存過程實現使用引數新增檔案組指令碼複用

create procedure #pr_CreateFileGroup @dbname nvarchar(max),@filegroupname nvarchar(max) as begin /* 指令碼來源：https://www.cnblogs.com/zhang502219048/p/12105527.html

sql server編寫archive通用模板指令碼實現自動分批刪除資料

博主做過比較多專案的archive指令碼編寫，對於這種刪除資料的指令碼開發，肯定是一開始的話用最簡單的一個delete語句，然後由於部分表資料量比較大啊，索引比較多啊，會發現刪除資料很慢而且影響系統的正常使用。然後

行轉列之SQL SERVER PIVOT與用法詳解

在資料庫操作中，有些時候我們遇到需要實現“行轉列”的需求，例如一下的表為某店鋪的一週收入情況表：

SQL Server實現跨庫跨伺服器訪問的方法

前言 我們經常會遇到一個數據庫要訪問另一個數據庫，或者一臺伺服器要訪問另一臺伺服器裡面的資料庫。 那麼這個如何實現的呢？ 相信看完這篇文章你就懂了！

基於Python的SQL Server資料庫實現物件同步輕量級

緣由 日常工作中經常遇到類似的問題：把某個伺服器上的某些指定的表同步到另外一臺伺服器。

SQL Server 資料庫調整表中列的順序操作方法及遇到問題

SQL Server 資料庫中表一旦建立，我們不建議擅自調整列的順序，特別是對應的應用系統已經上線，因為部分開發人員，不一定在程式碼中指明瞭列名。表是否可以調整列的順序，其實可以自主設定，我們建議在安裝後設置為禁

SQL Server查詢表名或列名中包含空格的表和列例項程式碼

前言 本文主要給大家介紹的是關於SQL Server查詢包含空格的表和列的相關內容，為什麼會有這篇文章，是因為最近發現一個數據庫中的某個表有個欄位名後面包含了一個空格，這個空格引起了一些小問題，一般出現這種情況，

sql server deadlock跟蹤的4種實現方法

前言 最近寫程式常會遇到deadlock victim，每次一臉懵逼。研究了下怎麼跟蹤，寫下來記錄下。文中介紹的非常詳細，對大傢俱有一定的參考學習價值，下面話不多說了，來一起看看詳細的介紹吧

Python內建方法實現字串的祕鑰加解密(推薦)

在實際程式設計開發中，我們會使用到各類的加密演算法來對資料和資訊進行加密。比如密碼中比較常見的MD5加密，以及AES加密等等。

利用SQL Server觸發器實現錶的歷史修改痕跡記錄

在很多應用程式開發中，需要記錄某些資料錶的歷史記錄或修改痕跡，以便日後出現數據錯誤時進行資料排查。這種業務需求，我們可以通過資料庫的觸發器來輕鬆實現歷史記錄功能。

SQL Server—— 在ETL過程列儲存索引vs 行儲存索引

本人新書上市，請多多關照：《SQL Server On Linux運維實戰 2017版從入門到精通》

SQL Server儲存過程在C#中呼叫的簡單實現方法

0. 簡介 【定義】：儲存過程（Stored Procedure） 是在大型資料庫系統中，一組為了完成特定功能的SQL 語句集，它儲存在資料庫中，一次編譯後永久有效，使用者通過指定儲存過程的名字並給出引數（如果該儲存過程帶有引

Sql Server資料把列根據指定內容拆分資料的方法例項

今天由於工作需要，需要把資料把列根據指定的內容拆分資料 其中一條資料例項