攻擊者總是盯著企業(yè)的關(guān)鍵數(shù)據(jù)，企業(yè)將許多人力物力投入到保護(hù)數(shù)據(jù)及數(shù)據(jù)庫(kù)的方案中，例如加密系統(tǒng)。而市場(chǎng)上的加密方案各有特色。那么，在選擇數(shù)據(jù)庫(kù)的加密方案時(shí)，企業(yè)需要考慮哪些問(wèn)題呢?

1、性能：在我們決定加密數(shù)據(jù)時(shí)，需要考慮的一個(gè)最大問(wèn)題是，其性能影響如何?而對(duì)這個(gè)問(wèn)題的回答只能是“視方案而定”。在我們的經(jīng)驗(yàn)中，透明加密執(zhí)行起來(lái)很好，它對(duì)數(shù)據(jù)庫(kù)的性能影響一般從5%到8%不等。本地?cái)?shù)據(jù)庫(kù)對(duì)象加密對(duì)性能的影響可達(dá)到15%到20%。所以，企業(yè)必須根據(jù)自己的配置狀況和性能要求考慮好此問(wèn)題。

2、操作：如果你要加密介質(zhì)，最好能夠保證在需要時(shí)能夠及時(shí)從此介質(zhì)恢復(fù)。這就要求你經(jīng)常測(cè)試磁帶。同樣道理，如果你使用密鑰輪換來(lái)滿足監(jiān)管要求，就應(yīng)當(dāng)試這個(gè)過(guò)程的操作過(guò)程和方式，并測(cè)試你的廠商如何處理生產(chǎn)環(huán)境中的新密鑰和老密鑰。你最好按照計(jì)劃來(lái)進(jìn)行，而不要在懷疑某個(gè)加密密鑰遭受破壞后才去測(cè)試。

3、復(fù)雜程度：加密系統(tǒng)都很復(fù)雜。你必須考慮加密引擎在哪里，它如何加密數(shù)據(jù)及加密哪些數(shù)據(jù)，哪些數(shù)據(jù)不加密，怎樣提供密鑰等等。作為一位數(shù)據(jù)庫(kù)管理員，你需要認(rèn)識(shí)到這種復(fù)雜程度并保證自己完全理解加密系統(tǒng)如何工作，特別是在你要證實(shí)加密能夠正確地滿足合規(guī)要求時(shí)，這尤其重要。

加密的復(fù)雜性不僅體現(xiàn)在部署方面，還體現(xiàn)在實(shí)施階段。有人認(rèn)為加密只不過(guò)是一個(gè)簡(jiǎn)單的數(shù)學(xué)公式問(wèn)題，甚至還有人說(shuō)，“咱能自己搞定!”。此言差矣。許多很有才的安全專(zhuān)家都在建設(shè)自己的加密系統(tǒng)時(shí)栽了跟頭。不要去建立自己的安全加密系統(tǒng)。否則，輕則造成不安全，重則會(huì)丟失所有數(shù)據(jù)。所以，你應(yīng)當(dāng)采用一種經(jīng)過(guò)檢查的可信的加密產(chǎn)品。

4、密鑰管理：你需要一個(gè)密鑰管理系統(tǒng)來(lái)保護(hù)密鑰。管理員不能將密鑰存儲(chǔ)到數(shù)據(jù)庫(kù)中，也不能將密鑰存放到磁盤(pán)上。企業(yè)應(yīng)當(dāng)將密鑰管理規(guī)劃到預(yù)算和操作計(jì)劃中。

事實(shí)上，加密所帶來(lái)的安全性與加密密鑰所提供的安全性是一樣的。雖然有不少報(bào)道宣稱(chēng)黑客可以繞過(guò)加密，但一個(gè)設(shè)計(jì)和實(shí)施良好的加密算法實(shí)際上是不可能被破解的。正是由于這個(gè)原因，多數(shù)攻擊者并不嘗試破解加密算法。相反，他們想得到的是密鑰。

密鑰管理是一個(gè)簡(jiǎn)單的概念：軟件服務(wù)或硬件服務(wù)生成并安全地管理加密密鑰。典型的服務(wù)可以存儲(chǔ)主鑰，由此生成所有的其它密鑰，生成新密鑰，廢棄老密鑰，并安全地存儲(chǔ)所有密鑰。這些服務(wù)還具備多種常見(jiàn)的管理功能，如身份驗(yàn)證和授權(quán);還可以提供責(zé)任分離功能，并可以審計(jì)日志的生成。

許多密鑰管理器都有圖形用戶(hù)界面來(lái)支持管理任務(wù)。你需要的是一個(gè)可以支持滿足自己密鑰需要的管理器，它應(yīng)當(dāng)易于管理并能夠與你的數(shù)據(jù)庫(kù)實(shí)現(xiàn)集成。

我們已經(jīng)看到許多小型公司將密鑰存放到磁盤(pán)上，結(jié)果在有時(shí)在數(shù)據(jù)庫(kù)啟動(dòng)時(shí)，密鑰不可用，因而無(wú)法成功地啟動(dòng)數(shù)據(jù)庫(kù)。密鑰管理系統(tǒng)可以與數(shù)據(jù)庫(kù)集成到一起，因而可以從密鑰服務(wù)器協(xié)商取得密鑰，并可以在無(wú)需管理員干預(yù)的情況下自動(dòng)運(yùn)行。不過(guò)，要實(shí)現(xiàn)這些功能，你首先要設(shè)置用于將數(shù)據(jù)庫(kù)向密鑰服務(wù)器認(rèn)證的證書(shū)，以及密鑰服務(wù)器到數(shù)據(jù)庫(kù)的認(rèn)證。

數(shù)據(jù)庫(kù)廠商一般都提供密鑰管理器，雖然其質(zhì)量有很大不同。這就需要你做好功課了。如果你不愿意，就不必采用廠商提供的密鑰管理器，而是采用滿足你需求的第三方的密鑰管理產(chǎn)品。記住：密鑰管理無(wú)論對(duì)于安全還是操作都至關(guān)重要。絕對(duì)不可在此問(wèn)題上掉以輕心。

更多信息請(qǐng)查看IT技術(shù)專(zhuān)欄