安华金和数据库加密系统技术白皮书

安华金和数据库加密系统系统白皮书目录安华金和数据库加密系统 (1)白皮书 (1)一. 安华金和数据库加密系统产品简介 (3)二. 安华金和数据库加密系统应用背景 (3)2.1数据库安全已经成为信息安全焦点 (3)2.2数据库层面的泄密事件频发 (4)2.3数据安全相关政策与法律法规 (4)三. 安华金和数据库加密系统客户价值 (5)3.2防止由于明文存储引起的泄密 (5)3.3防止外部非法入侵窃取敏感数据 (6)3.4防止内部高权限用户数据窃取 (6)3.5防止合法用户违规数据访问 (6)四. 安华金和数据库加密系统功能特点 (7)4.1透明数据加密 (7)4.2高效数据检索 (7)4.3身份鉴别增强 (7)4.4增强访问控制 (7)4.5真正应用安全 (8)4.6敏感数据审计 (8)4.7高可用性 (8)4.8可维护性 (9)一. 安华金和数据库加密系统产品简介安华金和数据库加密系统系统（简称DBCoffer）（以下称：安华金和数据库加密系统）是一款基于透明加密技术的数据库安全加固系统，该产品能够实现对数据库中对的加密存储、访问控制增强、应用访问安全、安全审计以及三权分立等功能。

安华金和数据库加密系统基于主动防御机制，可以防止明文存储引起的数据泄密、突破边界防护的外部黑客攻击、来自于内部高权限用户的数据窃取、防止绕开合法应用系统直接访问数据库，从根本上解决数据库敏感数据泄漏问题。

安华金和数据库加密系统利用数据库自身扩展机制，通过独创的、已获专利的三层视图技术和密文索引等核心技术，突破了传统数据库安全加固产品的技术瓶颈，真正实现了数据高度安全、应用完全透明、密文高效访问。

安华金和数据库加密系统当前支持Windows、AIX、Linux、Solaris等多个平台，提供基于加密硬件的企业版和纯软件的标准版，支持主、从、应急等自身高可用模式，可以满足用户的多种部署需求。

安华金和数据库加密系统兼容主流加密算法和国产加密设备，提供可扩展的加密设备和加密算法接口。

安华金和数据库加密系统的功能特性更适合于本土应用需求，性能领先5倍以上。

安华金和数据库加密系统产品适用于政府、军队、军工、机要、电信、电力、医疗、金融、互联网等各个领域，同时针对国家等级保护、分级保护、军队保密规定均具有很强的政策合规性。

二. 安华金和数据库加密系统应用背景2.1 数据库安全已经成为信息安全焦点政府机关、企事业单位的核心信息的80%是以结构化形式存储在数据库中的，数据库作为核心资产的载体，一旦发生泄密将会造成最为惨痛的损失。

当前，数据库的安全防护作为信息安全防护任务的“最后一公里”，其重要性已经被越来越多的部门所认可。

据国际权威机构verizon2014统计报告分析，当前96%数据攻击行为是针对数据库进行的；就“核心数据是如何丢失的”的市场调查表明，75%的数据丢失情况来自于数据库，数据库已经成为入侵者最主要的攻击目标和泄密源。

经过多年的发展，网络安全、主机安全等产品线不断丰富，已非常成熟。

但市场上的专业的数据库安全防护产品却很缺乏，这也是数据库安全建设面临的一个重要问题。

2.2 数据库层面的泄密事件频发在过去的若干年里，围绕着数据库或数据的计算机犯罪已经形成一个普遍现象，这些现象为数据库安全敲响了警钟。

●2005年，程序员程稚瀚四次侵入北京移动充值中心数据库盗取充值卡密码，获利达300多万元。

●2005年12月25日,美国银行披露,2004年12月下旬,丢失了包括1200万信用卡信息的磁带备份. ---Gartner Research；●2006年，日本住友生命保险公司，该公司约8000名客户及员工的资料数据通过安装到个人电脑上的软件被泄露到因特网上，包括联系人的姓名、所属分公司、地址和电话号码等。

●2007年，汇丰银行服务器丢失，致使16万客户信息遭受泄露。

●2007年，世界最大职业中介网站遭到大规模攻击，黑客窃取了在网站注册的数百万求职者个人信息，并进行勒索；●2009年6月9日, 工程师程某利用给深圳福彩中心系统实施的工作之便，提前获知数据库口令。

通过植入木马程序，篡改中奖号码，非法获取5注一等奖，累计金额3600多万元。

●2010年，3.15晚会曝光了移动、联通及原中国网通三大电信运营商的3个“内鬼”多次向“私家侦探”泄露客户信息、通话记录、手机定位信息共获利300万元。

●2011年，索尼公司遭遇“黑客门”，全球7000万游戏玩家的姓名、住址、生日等身份信息，以及1000万用户的信用卡信息被窃。

●据 2011年4月11日报道，北京著名的7天连锁酒店后台数据库被“刷库”，多达600万的会员详细信息被黑客盗取并在网上公开兜售。

2.3 数据安全相关政策与法律法规针对以上问题，各国家和组织迅速制定法案法规，要求加强数据的安全保护，以对政府信息、企业信息和个人隐私信息进行有效保护。

美国相继出台了Sarbanes-Oxley法案、HIPAA 法案、GLBA法案等，日本出台了个人信息保护法案，支付卡产业安全标准委员会制定了PCI数据安全标准、欧盟出台了《隐私和电子通信指令》，香港特区也出台了政府安全规定。

在这些法规中都对数据的安全，从管理和技术上都进行了有效约束，其中的关键就是数据加密。

而我国也相继出台了《信息系统安全等级保护基本要求》和《信息安全等级保护管理办法》要求政府部门和各个公共行业对信息系统进行等级划分，并对相应等级进行了管理和技术上的明确规定。

其中数据防泄漏是一重要组成部分，要求三级以上系统的鉴别信息和重要业务数据存储要加密。

三. 安华金和数据库加密系统客户价值通过安华金和数据库加密系统，可以有效防止由于明文存储引起的泄密、防止外部非法入侵窃取敏感数据、防止内部高权限用户数据窃取、防止合法用户违规数据访问。

图 3.1 数据库加密系统产品功能3.2 防止由于明文存储引起的泄密Oracle的底层存储实际上是未经加密处理的，数据文件、备份磁带的丢失都存在重大的泄密风险，目前已有很多类似于Aul、MyDul的成熟免费解析软件，可对明文存储的数据文件直接分析，输出清晰的、结构化的数据。

安华金和数据库加密系统通过数据存储加密功能，从根本上保证数据安全，即使反向解析数据文件仍是安华金和数据库加密系统加密过的乱码。

3.3 防止外部非法入侵窃取敏感数据数据库是一个复杂的大型系统，以Oracle为例，其累计报告的安全漏洞已达1000多种，且在持续暴露，一旦被攻击者利用，很容易窃取到敏感数据。

安华金和数据库加密系统通过增强的用户口令校验强度，独立的密文权控体系，即使数据库权控体系被突破，也无法访问到敏感数据。

3.4 防止内部高权限用户数据窃取受出口政策的限制，在C2安全级别的数据库系统中，以sys、sysdba或sa为代表的超级用户天然具备数据访问、授权和审计的权限；在大型企业和政府机构中，除了系统管理员，以数据分析员、程序员、服务外包人员为代表的数据库用户，也可以访问到敏感数据。

这些与业务无关的敏感数据访问权限，都成为数据泄密的极大隐患。

三权分立，对特权用户进行有效权力拆分。

安华金和数据库加密系统增设了安全管理员(DSA)，即使是DBA用户，在未经DSA授权时照样无法访问到密文数据；安华金和数据库加密系统同时增设审计管理员(DSA)，可以对DSA的授权行为和数据库用户的密文数据访问行为进行审计和追踪。

3.5 防止合法用户违规数据访问对于应用系统使用的合法数据库用户，常由于人为因素或管理不善，用户名及口令很容易泄露给第三方，第三方则可以通过命令行或管理工具直接访问密文数据，批量窃取数据。

安华金和数据库加密系统具备真正应用安全能力，可以将合法用户与应用系统绑定，同一用户只能通过指定的应用系统访问密文数据，使用命令行等其他方式则无法访问密文数据。

四. 安华金和数据库加密系统功能特点4.1 透明数据加密安华金和数据库加密系统支持我国密码管理机构认定的加密算法，也支持国际先进的密码算法。

对数据库可以指定列进行加密，保证敏感数据以密文形式存储，以实现存储层的安全加固。

透明的数据加密有两层含义：一是对应用系统透明，即用户或开发商不需要对应用系统进行任何改造；二是对有密文访问权限的用户显示明文数据，并且加、解密过程对用户完全透明。

4.2 高效数据检索安华金和数据库加密系统进行数据加密后，依然能够对密文数据提供索引能力，从而保持数据库的高效访问能力。

安华金和数据库加密系统通过专利的、高度安全的加密索引技术，突破了传统技术对密文列不能使用索引的限制；在保证索引数据的高度安全基础上，提供了对密文数据为检索条件的索引查询；在密文列上进行的等于、大于、小于和Like操作依然可以使用索引。

4.3 身份鉴别增强单一的静态口令认证方式，容易遭到他人窃取和冒名使用。

安华金和数据库加密系统可以实现安全管理员、审计管理员以及数据库用户的动态口令和双因素(ukey+pin码)方式的增强认证，并提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出措施。

4.4 增强访问控制安华金和数据库加密系统增设数据安全管理员（Data Security Administrator，DSA）。

DBA和DSA相互独立，共同实现对敏感字段的强存取控制，实现真正的责权一致。

DBA实现对普通字段的一般性访问权限控制，DSA实现对敏感字段的增、脱密处理和密文访问权限控制。

该功能在数据加密存储的基础上，实现密文访问权限体系，对数据库用户进行强制访问控制，有效防止特权用户对敏感数据的非法访问；4.5 真正应用安全安华金和数据库加密系统可以提供按角色、IP地址、时间范围的密文访问控制，并具备真正应用安全能力。

安华金和数据库加密系统可以将合法用户与应用系统绑定，同一用户只能通过指定的应用系统访问密文数据，使用命令行、管理工具等其他任何方式均无法访问密文数据。

安华金和数据库加密系统通过对应用程序或系统进行摘要值和连接随机种子的判定，保证应用身份标识不可伪造，合法的连接不可重放。

4.6 敏感数据审计安华金和数据库加密系统增设安全审计管理员（Data Audit Administrator，DAA），提供对数据库中安全授权行为和密文字段访问行为的审计能力，以便对DSA的授权行为和数据库用户的敏感数据的访问进行事后追踪。

传统的审计技术，由于审计的信息量大，审计功能的开启，将对性能造成极大的影响，基于网络的审计也会受到通讯加密的影响，造成审计信息不全面；而安华金和数据库加密系统在数据库内部实现审计，并且仅针对敏感数据审计，从而保障了审计信息完整性和数据库的性能。

安华金和数据库加密系统对于敏感数据的审计，不仅能审计到数据访问行为，还能审计敏感数据变更行为造成的变更前后的数据，为事后追责和数据恢复提供了依据。