對稱密碼算法有時又叫傳統密碼算法，就是加密密鑰能夠從解密密鑰中推算出來，反過來也成立。在大多數對稱算法中，加密解密密鑰是相同的。這些算法也叫秘密密鑰算法或單密鑰算法，它要求發送者和接收者在安全通信之前，商定一個密鑰。對稱算法的安全性依賴于密鑰，泄漏密鑰就意味著任何人都能對消息進行加密解密。只要通信需要保密，密鑰就必須保密。通常，對于數據庫中的敏感信息加密，采用的都是對稱算法進行處理。
非對稱算法也叫公開密鑰加密,它是用兩個數學相關的密鑰對信息進行編碼。在此系統中，其中一個密鑰叫公開密鑰，可隨意發給期望同密鑰持有者進行安全通信的人。公開密鑰用于對信息加密。第二個密鑰是私有密鑰，屬于密鑰持有者，此人要仔細保存私有密鑰。密鑰持有者用私有密鑰對收到的信息進行解密。從數據庫安全的角度，非對稱算法主要用于秘鑰和口令交換等領域。
國密即國家密碼局認定的國產密碼算法，即商用密碼。商用密碼，是指能夠實現商用密碼算法的加密、解密和認證等功能的技術。（包括密碼算法編程技術和密碼算法芯片、加密卡等的實現技術）。商用密碼技術是商用密碼的核心，國家將商用密碼技術列入國家秘密，任何單位和個人都有責任和義務保護商用密碼技術的秘密。隨著我國對數據庫安全重視程度的提升，越來越多的數據庫加密需求，要求采用國密算法進行。
由于數據庫中的數據是以明文形式存儲在硬件設備上的，無論是當前數據庫運行的硬件存儲設備，還是用于數據備份的磁帶，若發生丟失或者維修，都會引起相應的數據丟失風險，而通過專業的工具，更可以直接將存儲下來的內容還原。存儲層加密是將保存到硬件設備上的敏感信息直接加密存儲，無論是運行環境的硬件存儲設備，還是數據備份的磁帶中，敏感數據是以加密的形態存儲的，從而有效地防止了由于硬件丟失或硬件維修等無意識的泄密，即使使用專業工具，也只能看到加密后的內容，防止數據庫數據以明文形式暴露，以實現存儲層的安全加固。
在對數據庫內數據進行加密的過程中，我們把直接對數據進行加密的密鑰稱之為數據密鑰。數據密鑰只有當被使用的時候，才以明文形態出現，在系統運行的其他時期，數據密鑰是被加解密設備的設備密鑰加密保護，而設備密鑰又是被系統根密鑰加密保護，這種逐級加密管理密鑰，只有當使用的時候才逐級解密的機制稱之為多級密鑰管理。這種機制可以有效的保護數據密鑰的安全性，從而對加密數據提供更安全的保護。
在對數據庫進行加密的時候，通常不會使用同一個密鑰對所有數據進行加密，而是提前生成若干密鑰，在加密的時候，從這些密鑰中隨機選擇一個對數據加密，這些密鑰統稱為密鑰庫。密鑰庫中的密鑰是以密文形態保存在文件或者內存中，只有當被選擇使用的時候，才還原為明文態使用。從密鑰庫中隨機選擇密鑰對數據加密，可以大幅度增加加密強度，增加被破解的難度，提升安全性。
在安全性要求較高的場景下，要求加密后的數據，其密鑰必須周期性的發生變更，不能長時間使用同一密鑰對數據進行加密保護。這種定期變更密鑰的加密方式，稱之為密鑰輪轉。密鑰輪轉可以人為進行，以手動的方式將數據解密，再用新密鑰重新加密。也可以通過加解密軟件提供的自動輪轉機制進行，在無損安全的前提下，大大提升了效率，降低了操作復雜度。
數據庫安全管理員（DataBase Security Administrator）簡稱DSA。與傳統的數據庫管理員DBA對應，DBA和DSA完全獨立，共同實現對敏感字段的強存取控制，實現真正的責權一致。DBA實現對普通字段的一般性訪問權限控制，DSA實現對敏感字段的密文訪問權限控制和加解密處理。通過引入DSA的身份，限制了傳統數據庫管理機制中超級用戶權限過大的弊病，又不會影響DBA對數據庫的設計變更及日常維護工作，使得數據庫在安全管理上做到權責分明。
數據庫增強訪問控制指的利用加密或設立標簽等手段，將數據庫中敏感信息與普通信息區分開來，并通過獨立于數據庫超級管理員的權限之外的授權體系，對敏感數據的訪問權限加以限制，從而使敏感數據的訪問更加安全化的一種控制方式。這種控制方式區別于以往傳統的DBA“統管一切”的權限體系，既可以對超級用戶的訪問權限進行限制，也可以對數據庫訪問者的其他身份特征如IP、端口、客戶端工具、時間等進行限制，是一種數據庫訪問權限限制的補充和增強。
"在某些實際應用場合中，對于數據庫中敏感數據的權限控制，除了要做到數據庫用戶級，還要對使用同一個數據庫用戶的不同應用加以區分，從而達到受信應用才可以訪問數據，非受信應用即使使用同一個數據庫賬戶，也無法訪問敏感數據的效果。
應用身份鑒別即指的是可以區分應用身份，并且針對不同應用，授予不同權限，從而讓敏感數據更加安全的一種技術手段。
在應用和數據庫建立連接的過程中，應用程序的若干身份信息會被數據庫客戶端傳遞給數據庫服務器，服務器端駐留的邏輯將收集到的應用程序身份信息與提前配置好的合法應用程序的身份信息進行比對，從而達到鑒別應用身份的效果。另一種應用身份鑒別技術是使用改造后的數據庫驅動（如JDBC）連接數據庫，改造后的驅動會將調用者的身份信息發回至服務器，然后再與之前保存的應用身份信息對比，實現應用身份鑒別。
應用身份鑒別機制可以有效的保護數據庫中的敏感信息，可以設定只允許受信應用通過某數據庫用戶訪問敏感信息，即使該戶口令泄露，數據竊取者也無法通過其他客戶端工具等直連手段登陸數據庫獲取敏感信息。
"
"在某些實際應用場合中，對于數據庫中敏感數據的權限控制，除了要做到數據庫用戶級，還要對使用數據庫的不同應用用戶加以區分，從而達到受信應用用戶才可以訪問數據，非受信應用用戶即使使用同一個數據庫賬戶，也無法訪問敏感數據的效果。
應用用戶鑒別即指的是可以區分應用用戶的身份，并且針對不同應用用戶，授予不同權限，從而讓敏感數據更加安全的一種技術手段。
在應用和數據庫建立連接的過程中，應用程序的若干身份信息會被數據庫客戶端傳遞給數據庫服務器，應用用戶的身份信息也會在使用或者建立數據庫連接的時候被數據庫客戶端獲取，服務器端駐留的邏輯將收集到的應用用戶身份信息與提前配置好的應用用戶權限進行比對，從而達到區分應用用戶權限的效果。另一種應用用戶鑒別技術是使用改造后的數據庫驅動（如JDBC）連接數據庫，改造后的驅動會將調用者的身份信息發回至服務器，然后再與之前保存的應用用戶身份信息對比，實現應用用戶鑒別。
應用用戶鑒別機制可以有效的保護數據庫中的敏感信息，可以設定只允許某應用系統中權限較高的應用用戶才可以訪問敏感信息，即使使用同一套應用系統，權限較低的用戶也無法訪問敏感信息，通常這種應用用戶鑒別機制會和應用身份鑒別機制一起使用以增加安全性。
"
" 密文水印技術指的是向加密后的敏感信息（即密文）中嵌入某些信息，以達到對密文真偽的辨別，密文是否被篡改的區分的目的。另外密文水印還可以實現當數據庫加密策略信息丟失，只有密文和密鑰庫存在的情況下，保證密文仍然可以恢復的功能。
使用密文水印技術對數據庫內敏感信息加密，可以準確的辨別加密后數據是否被篡改，可以最大程度上保證數據的一致性和可還原性，但同時會造成加密后的數據與原數據相比，所占空間會有一定的膨脹。"
在使用對稱加密方式加密的過程中，如果使用相同的算法和密鑰，對于相同的明文，加密后的密文結果也相同，這樣如果對數據庫中某一列進行加密，當該列加密前內容都相同時，加密后的結果也相同，這會給想要猜解明文的攻擊者以可乘之機。如果在對同樣的明文內容加密的時候，對于每個明文，引入一組不同的數字或者字符參與加密計算，就可以起到擾亂的作用，這樣即使是用相同的算法和密鑰，相同明文加密后的密文也各不相同，在加密過程中引入的起到擾亂作用的數字和字符，就被稱作隨機鹽。
"在數據庫加密領域，三權分立指的是數據庫管理員（DBA），數據庫安全管理員（DSA）和數據庫審計員（DAA）三種角色互相制約又相互協作共同完成數據庫的管理和安全工作。
數據庫管理員主要負責執行數據庫日常管理的各種操作和自主存取控制，安全管理員主要負責定義敏感數據，執行數據加解密和密文數據的授權等安全性操作，審計管理員主要負責監督前兩類用戶的操作，審計數據庫的變更以及日常訪問、安全策略配置變更等行為。"
在對數據庫中敏感信息加密的過程中，明文是逐條或者逐批次的被轉化為密文存儲的，在整個轉化過程結束后，數據庫中還有若干地方保存著轉化前的明文內容，如操作日志等，另外在加密過程中如果涉及數據的復制備份，則也會產生明文內容。這部分內容在數據庫中通常是不可見的，并且會隨著后續對數據庫的使用被覆蓋掉，不過由于這個覆蓋過程會在一定時間內完成，會給數據竊取者以可趁之機。明文混淆技術是指在加密過程結束后，立刻通過向這部分隱式存在于數據庫中的明文填充無意義字符（例如全0），通過這種覆蓋原有明文的方式，使得數據庫中不再存在明文內容，從而使得數據竊取者無從入手，提升了安全度。
"一種通過直接分析數據庫底層存儲文件或日志文件，從中獲取數據庫結構和數據內容，逐步解析還原，最終重建整個數據庫表結構和存儲內容的技術。利用這種技術，只要突破主機防護，獲取到數據庫存儲在磁盤上的文件，便可以在無需數據庫用戶密碼的情況下得到其中保存的所有數據。目前互聯網上也存在提供反向解析數據庫存儲文件的工具如AUL/MYDUL等。
為了解決反向解析對數據庫造成的威脅，我們要加強對數據庫存儲文件的保護，不僅要通過合理的技術手段保障主機安全和網絡安全，更直接有效的方式是對數據庫中的敏感重要信息進行加密存儲，這樣即使攻擊者通過反向解析還原表結構和數據內容，得到的也是加密后的內容，無法解讀利用。"
" 透明加解密是指對數據庫的敏感信息進行加密后，通過多級視圖和觸發器等技術保證應用系統、SQL語句、數據庫維護、部署方式均不受影響。具體體現在以下幾個方面。1）應用系統連接數據庫的方式和各種開發接口API程序不用進行任何改變。2）原有的SQL語句和事務處理（ACID、讀一致性等事務特性）特性沒有任何改變。3）DBA等數據庫維護人員對數據庫的表結構變更、數據導出導入等維護性操作不受影響。4）對原有的數據庫高端特性如數據庫集群（RAC）等不造成影響。
透明加解密技術在提供數據密文存儲帶來的安全性提升的同時，最大程度的降低了由于數據加密造成的各項影響，應用系統無需二次開發，運維人員無需增加工作量。是一種低成本、小代價、高安全的數據庫加解密方式。"
" 索引是對數據庫表中一個或多個列的值進行排序的結構，通過這種排序結構，可以加快數據庫的查詢速度，更快的從表中找到想要的信息。在數據庫中敏感信息進行加密后，用戶在使用明文作為查詢條件檢索密文的時候，無法沿用傳統的索引機制，只能通過全表檢索的方式獲取數據，性能大幅度降低。
密文索引是一種利用數據庫擴展接口，采用專門設計的存儲結構和算法構建的針對密文的索引方式，該方式突破傳統技術對加密列不能使用索引的限制；在保證索引數據高度安全的基礎上，提供了對已加密數據為檢索條件的索引查詢。在加密列上進行的等于、大于、小于和Like操作依然可以使用索引，從而保持了數據庫的高效訪問能力。
密文索引支持的數據類型包括varchar2、char、int、number、date等數據庫常見數據類型。在這些類型的加密列上面建立密文索引，可以保證以其為條件進行的等于、大于、小于和Like操作，性能相比明文索引下降在3%~5%，做到性能基本無損。并且，儲存在索引表中的數據均是以密文形態存在，安全性得到了充分的保障。"
通過在數據庫的網絡前端串聯接入加密設備；對于用戶定義的需要加密的列，在插入式對數據加密后再傳遞給數據庫，在讀取時解密后再傳遞給客戶端。這種技術路線包括如下三種：（1）通過通訊協議解析和數據包改寫的方式進行；（2）對于JDBC或ODBC重構；（3）增加JDBC或ODBC代理轉發服務器。無論哪種方式都有應用改造和密文數據無法快速檢索的風險。
關聯加密通常在對存在外鍵的數據列進行加密時進行，為了保證對數據庫加密后，原有的表間外鍵關系不被破壞，需要檢查是否存在和該主鍵列相關聯的外鍵列，并將所有相關聯的外鍵列都加入到待處理的加密列中，進行加密處理。并且對這些外鍵列采用和主鍵約束列完全相同的密鑰、鹽值和加密算法，以保證主鍵和外鍵被加密后的數據一致。因此，需要通過一個專門的加密處理接口來對主外鍵關系的列進行同時的加密處理。并且不能改變該主外鍵約束關系。在進行加解密處理的時候，需要理清其先后的順序：首先更改全部主鍵列的數據，然后更改外鍵列的數據。
產品咨詢：4000 258 365 
