SQL Server 2008企业版中的数据库加密(3)

2.5、什么是已加密

TDE通过缓冲池在I/O 级别操作。所以，任何写到数据库文件(*.mdf)中的数据都被加密。快照和备份也被设计成会利用TDE所提供的加密，因此它们也在磁盘上被加密。但是在使用的数据却没有进行加密，因为TDE不提供内存或传输级别的保护。事务日志也受到保护，但是需要需要额外的申请。

对于在使用中的数据，当它们被读取和存储到缓冲池中时所有的页面都被解密，在内存中是清楚的文本形式。操作系统可能将数据内存溢出看作是内存管理的一部分。在这个过程中，解密的数据可能会写到磁盘上。Windows和SQL Server可以配置为防止内存写到磁盘，不过这样的性能成本会很高。其它操作系统动作例如休眠和崩溃转储还会使得从内存写到磁盘上。传输中的数据没有受到保护，因为这个信息在到达以前已经是解密的了;应该使得SSL可以保护服务器和任何客户端之间的通信。

当数据库页面文件写到磁盘上时，文件头并没有和其它数据一起加密，因为这个信息对于页面来说是需要重新加载的。头包含了状态细节，例如数据库兼容性级别、数据库版本、镜像状态，等等。任何重要的数据(例如DEK)在它插入到头之前都进行了加密。头还包括了一个数据损坏校验(CRC)。用户可以拥有一个对纯文本的校验和一个对加密文本的校验。这不是一个密码校验；它只监测数据损坏(检查看看数据是否是可读的)，而不是数据完整性(检查看看数据是否被修改了)。所有的其它用户数据都是存储在加密的数据库页面上，包括所有未被使用的(或之前删除的)数据，以避免信息泄漏。当TDE在任何用户数据库上都可用时，加密还自动地可用于临时数据库(tempdb)。这避免了用户数据库使用的临时对象泄漏到磁盘上。除了tempdb之外系统数据库现在还不能使用TDE加密。

I/O 级的加密还允许快照和备份被加密。因此数据库创建的所有快照和备份都将通过TDE进行加密。当写文件时用来保护DEK的证书必须存储在服务器上用于那些文件进行恢复或重新加载。因此，你必须维护所有证书使用的备份，而不仅仅是最新的证书。

事务日志更加复杂。因为事务日志是旨在保证一次性失败安全的，TDE不对已经写到磁盘的日志进行加密。类似的，由于这个一次性写原则日志头不能被重写，因此写到日志的数据不会受到保护，即使是在TDE可用之后进行加密了的数据。TDE后台扫描使得日志前进到下一个VLF边界，这使得密钥可以存储在头里面。这时，如果文件扫描也完成了，那么DEK状态改变为Encrypted并且所有后来的写日志都会被加密。

2.6、对数据库的影响

TDE旨在尽可能的透明。不需要任何应用程序改动，对于用户来说使用一个TDE加密的数据库和一个非加密的数据库是觉察不出区别的。

如果数据库有任何只读的文件组，那么TDE操作是不被允许的，但是TDE可以用于只读文件组。为了使TDE在具有只读文件组的数据库上可用，首先文件组必须设置为允许写。在加密扫描完成之后，文件组可以设置回只读的。密钥改变或解密必须以相同的方式执行。

TDE产生的性能影响是较小的。因为加密发生在数据库级别，数据库可以平衡索引和密钥以做到查询最优化。这使得可以进行全范围和相等扫描。在使用样例数据和TPC-C运行测试时，整个性能影响估计为3-5%，并且如果访问的数据大多存储在内存中的话还可能低很多。加密是CPU进行的在I/O执行的。因此，具有较低I/O和一个较低CPU负载的服务器的性能影响是最小的。CPU占有率高的应用程序将导致性能大大下降，估计大约为28%。主要成本是在CPU利用方面，所以如果CPU占有量足够低的话，即使应用程序或服务器占有较高的I/O也不会受到太大的影响。而且，因为初始加密扫描启动了一个新的线程，这时性能会受到极大的影响;可能查看查询执行会差几个数量级。对于磁盘空间问题，TDE没有将数据库文件放到磁盘上，尽管它将在之前数据是怎样加密的中提到的事务日志放到磁盘上。

TDE不是一种访问控制。所有具有访问数据库权限的用户仍然可以访问;他们不需要被赋予权限或提供一个密码来使用DEK。

TDE只在SQL Server 2008企业版和开发者版本中可用。在其它版本中使用的数据库不能使用TDE来加密，并且TDE加密的数据库不能使用在其它版本中(服务器在进行连接或恢复时会报错)。

2.7、数据库备份

当在一个数据库上TDE可用时，所有的备份都被加密。因此，必须特别注意要确保用来保护DEK的证书(看怎样是TDE可用)备份了，并与数据库备份一起维护。如果这个证书(或这些证书)丢失了，数据将无法读取到。将证书与数据库一起备份。每一个证书备份应该包含两个文件;这两个文件都应该可以存档(理想情况是与数据库备份文件分离开来以备安全)。或者，考虑使用外部密钥管理(extensible key management，EKM)特性(查看外部密钥管理)来存储和维护TDE所使用的密钥。

2.8、其它的写到磁盘特性

如果一个特性是从缓冲池写到磁盘，那么数据是受保护的。特性直接从缓冲池外部写到文件必须手动管理加密和解密。因此，旧版本的全文搜索，以及甚至是新的文件流特性都不被TDE保护。

2.9、单元级加密

SQL Server 提供了单元级的加密。单元级加密是在Microsoft SQL Server 2005中推出的，现在仍然受到完全支持。单元级加密是作为一系列内置函数来执行的，具有一个密钥管理层次结构。使用这个加密是一个手动处理过程，它需要重新设计应用程序架构来调用加密和解密功能。此外，schema必须进行修改，使得数据存储为varbinary，然后在读取的时候将它改回适当的数据类型。加密的传统限制是存在于这个方法之中的，就是不能使用自动的查询优化技术。