1. 程式人生 > >資料加密 第四篇:對稱金鑰

資料加密 第四篇:對稱金鑰

金鑰分為對稱金鑰和非對稱金鑰,金鑰本質上是加密資料的演算法:

  • 對稱金鑰(Symmetric Keys)是指加密和解密的過程使用相同的演算法,是加密中最弱的演算法,但是效能最好。對於對稱金鑰,可以使用密碼或者另一個金鑰甚至一個證書來加密。
  • 非對稱金鑰(Asymmetric Keys)使用一對金鑰(演算法),一個金鑰用於加密,另一個金鑰用於解密,加密的金鑰稱為私鑰(private key),解密的金鑰稱為公鑰(public key)。

對稱金鑰(Symmetric Keys)

雖然是“鑰匙”,但是本質是加密資料的演算法,並且是加密中最弱的演算法,這是因為使用相同的演算法來加密和解密資料。不過即使是最弱的演算法,也能增加資料防禦的能力,畢竟不是每個攻擊者都是頂級的。對於對稱金鑰,可以使用密碼,或者另一個金鑰,甚至一個證書來加密。

非對稱金鑰(Asymmetric Keys)

跟對稱金鑰相對,它使用一對金鑰(演算法),一個金鑰用於加密,另一個金鑰用於解密,加密的金鑰稱為私鑰(private key),解密的金鑰稱為公鑰(public key)。跟對稱金鑰相比,非對稱金鑰提供的安全級別更高,也更消耗資源。

一,建立對稱金鑰

建立對稱金鑰時,需要制定對資料進行加密的演算法,對稱金鑰必須用至少一個方式來加密:certificate, password, symmetric key, asymmetric key, 或 PROVIDER,金鑰可以同時有多種加密方式。

CREATE SYMMETRIC KEY key_name   
WITH ALGORITHM = { AES_128 | AES_192 | AES_256 }
     , ENCRYPTION BY <encrypting_mechanism> [ , ... n ] 
  
<encrypting_mechanism> ::=  
      CERTIFICATE certificate_name   
    | PASSWORD = 'password'   
    | SYMMETRIC KEY symmetric_key_name   
    | ASYMMETRIC KEY asym_key_name  

舉個例子,建立一個對稱金鑰,使用AES_256對資料進行加密,並使用證書對金鑰進行加密:

CREATE SYMMETRIC KEY JanainaKey09   
WITH ALGORITHM = AES_256  
ENCRYPTION BY CERTIFICATE Shipping04;  
GO  

二,使用對稱金鑰來加密和解密資料的函式

在對稱金鑰建立完成之後,要使用對稱金鑰對資料進行加密,首先要開啟對稱金鑰,對稱金鑰的GUID可以通過函式key_GUID('name')來獲得:

OPEN SYMMETRIC KEY Key_name DECRYPTION BY <decryption_mechanism>  
  
<decryption_mechanism> ::=  
    CERTIFICATE certificate_name [ WITH PASSWORD = 'password' ]  
    | ASYMMETRIC KEY asym_key_name [ WITH PASSWORD = 'password' ]  
    | SYMMETRIC KEY decrypting_Key_name  
    | PASSWORD = 'decryption_password'  

當對稱金鑰開啟之後,使用EncryptByKey ()來對資料進行加密,返回值是varbinar,最大長度是8000Bytes:

EncryptByKey ( key_GUID , { 'cleartext' | @cleartext }  
    [, { add_authenticator | @add_authenticator }  
     , { authenticator | @authenticator } ] ) 

使用DecryptByKey ()來對資料進行解密:

DecryptByKey ( { 'ciphertext' | @ciphertext }   
    [ , add_authenticator, { authenticator | @authenticator } ] ) 

在不使用對稱金鑰時,把金鑰關閉:

CLOSE SYMMETRIC KEY key_name

三,使用對稱金鑰來加密和解密資料的例項

建立證書來對對稱金鑰進行加密。

1,使用對稱金鑰加密資料

Step1,建立證書,並使用資料庫主金鑰來加密證書

CREATE CERTIFICATE CreditCardCert 
WITH SUBJECT = 'Credit Card Numbers';

Step2:建立對稱金鑰

建立一個名稱為CreditCardKey的對稱金鑰,使用AES_128加密演算法,並使用證書對金鑰進行加密

CREATE SYMMETRIC KEY CreditCardKey 
WITH ALGORITHM = AES_128
ENCRYPTION BY CERTIFICATE CreditCardCert; 

從 SQL Server 2016開始,除 AES_128、AES_192 和 AES_256 以外的所有演算法都已過時。

Step 3:解密對稱金鑰並使其可供使用

使用金鑰前需要解密對稱金鑰,然後開啟金鑰,否則金鑰不可用

OPEN SYMMETRIC KEY CreditCardKey DECRYPTION BY CERTIFICATE CreditCardCert; 

Step4:使用金鑰對資料進行加密

呼叫ENCRYPTBYKEY()函式使用對稱金鑰對資料進行加密

UPDATE Sales.CreditCard 
SET CardNumberEncrypted = ENCRYPTBYKEY(Key_GUID('CreditCardKey'), CardNumber); 

函式 KEY_GUID('key_name')返回對稱金鑰的GUID。

Step 5:關閉金鑰

金鑰的開啟狀態對當前Session起作用,在使用玩金鑰之後,應該及時把金鑰關閉。

CLOSE SYMMETRIC KEY CreditCardKey ;

2,解密對稱金鑰

首先開啟對稱金鑰,然後使用對稱金鑰解密資料,最後關閉金鑰

OPEN SYMMETRIC KEY CreditCardKey DECRYPTION BY CERTIFICATE CreditCardCert; 
 
SELECT CONVERT(NVARCHAR(30), DECRYPTBYKEY(CardNumberEncrypted)) AS CreditCardNumber 
FROM Sales.CreditCard ; 

CLOSE SYMMETRIC KEY CreditCardKey ; 

 

參考文件:

 CREATE SYMMETRIC KEY (Transact-SQL)