CN101162493A

CN101162493A - 维护数据库安全的方法和系统

Info

Publication number: CN101162493A
Application number: CNA2007100598231A
Authority: CN
Inventors: 陈伟珂; 尹贻林; 王子博
Original assignee: Tianjin University of Technology
Current assignee: Tianjin University of Technology
Priority date: 2007-10-11
Filing date: 2007-10-11
Publication date: 2008-04-16

Abstract

本发明公开了一种维护数据库安全的方法，包括以下步骤：用户创建关系；通过SQL的扩展语句指定是否对其中的数据进行加密存储，若需要进行加密存储则密钥产生器自动产生一个密钥，若不需要进行加密存储则将数据写出到外存；将密钥产生器产生的密钥存入安全字典中的加密关系表中；在DBMS将数据写到外存时，查询系统表中的安全字典，判断是否需要加密，若需要加密则利用安全字典中的密钥对数据进行加密，若不需加密则将数据写出到外存。本发明在DBMS将内存中的数据写到外存时进行加密操作，在将外存中的数据读到内存时进行解密操作，因为数据在内存中是明文的，所以DBMS的功能不会受到任何影响，并且可以按常规方式建立索引。

Description

维护数据库安全的方法和系统

技术领域

本发明涉及数据库领域，特别是涉及一种维护数据库安全的方法和系统。

背景技术

目前，计算机数据存储的安全问题、敏感数据的防窃取和防篡改问题越来越引起人们的重视，数据库系统作为计算机信息系统的核心，数据库文件作为信息的聚集体，其安全性将是信息产业的重中之重。传统的物理安全、操作系统安全机制和数据库访问控制机制为数据库提供了一定的安全保障，但这些并不能满足数据库全部的安全需求，无法保证一些部门重要数据和敏感数据的安全，这就涉及到了对数据的加密问题。

对数据库安全的维护主要通过对数据库中的数据进行加密来实现。现有的对数据库中数据的加密主要在两个层次进行，即OS(Operation System)层和DBMS(数据库管理系统)外层(客户端)。

DBMS在存储数据库中的数据时，通常会把一个表存储为OS中的一个文件，那么对相应的文件加密就达到了对表中的数据进行加密的目的。但是在OS层加密的粒度是文件级，对加密关系进行操作的时候，首先需要解密文件，这会极大地降低系统的性能。

当前大多数数据库加密方法是在DBMS外层加密。在敏感数据存储到数据库之前，首先将数据加密，然后再将加密后的数据存进数据库，加/解密对DBMS来说是透明的。采用这种方式的优点是，加/解密操作既可以放在服务器端又可以放在客户端进行。此外，加密粒度可以达到字段级。但这种方式有其固有的缺陷，提高查询性能的一个重要机制是使用索引，而索引的建立通常是依据数据之间的逻辑关系。加密后的数据将很难保持原有的逻辑关系，DBMS在将加密数据存储到数据库时，索引的建立将是一个极大的挑战，这对数据库的性能和功能都会产生极大影响。

发明内容

为了解决上述问题，本发明的目的在于提供一种在DBMS内核层进行数据库安全的维护、不影响DBMS的功能且对系统性能的影响较小的维护数据库安全的系统和方法，在内核层实现数据库加密可以支持字段级、元组级、关系级等多种加密粒度。

本发明的目的是通过以下技术方案实现的：

一种维护数据库安全的方法，包括以下步骤：

步骤S10：用户创建关系；

步骤S20：通过SQL的扩展语句指定是否对其中的数据进行加密存储，若需要进行加密存储则执行步骤S30；若不需要进行加密存储则执行步骤S70；

步骤S30：密钥产生器自动产生一个密钥；

步骤S40：将密钥存入安全字典中的加密关系表中；

步骤S50：在DBMS将数据写到外存时，查询系统表中的安全字典，判断是否需要加密，若需要加密则进入步骤S60，若不需加密则进入步骤S70；

步骤S60：利用安全字典中的密钥对数据进行加密；

步骤S70：将数据写出到外存。

一种维护数据库安全的系统，包括数据库加密体系和对SQL的扩展。

上述的数据库加密体系包括一个加/解密模块且在系统表中设置有一个用来存放密钥的安全字典。

上述的安全字典由加密关系表和密钥授权表组成。

上述的对SQL的扩展包括关系创建语句和关系结构修改语句。

本发明的有益效果在于：

1)既保证对敏感数据加密存储又不影响DBMS的功能，最主要的是不影响DBMS索引的建立。与当前大多数为维护数据库安全而采用的在DBMS外层进行加/解密操作的加/解密方法相比，本发明提出的在DBMS内核层进行加/解密的方法是在DBMS将内存中的数据写到外存(如磁盘、磁带等)时进行加密操作，而将外存中的数据读到内存时进行相应的解密操作。因为数据在内存中是明文的，所以DBMS的功能不会受到任何影响，并且可以按常规方式建立索引。

2)本发明还可以充分利用索引来减少加/解密的次数及数据量，对系统性能的影响也比较小。

附图说明

图1为本发明的维护数据库安全的方法的流程图；

图2为关系数据库管理系统中的页面结构图；

图3为用户访问本发明中的数据库的流程图。

具体实施方式

下面结合附图对本发明的维护数据库安全的系统和方法进行详细说明。

本发明的维护数据库安全的方法如图1所示，包括以下步骤：

步骤S10：用户创建关系；

步骤S30：密钥产生器自动产生一个密钥；

步骤S40：将密钥存入安全字典中的加密关系表中；

步骤S60：利用安全字典中密钥对数据进行加密；

步骤S70：将数据写出到外存。

下面对上述步骤的实现方法进行具体说明。

在关系数据库管理系统中，页面结构通常如图2示，页头主要包含该页面所属的数据库及关系、页面大小、页内空闲空间的起始偏移以及页内空闲空间的终止偏移等信息。在页头和空闲空间之间是一个数组，它的每一个元素存放了一条记录在页面中的起始偏移，数组中元素的个数即页面中存放记录的条数。页尾是数据域部分，存放关系中的元组，元组按插入顺序从后向前存入。

根据图2的页面结构，如果一个关系中存放敏感数据，那么这个关系的每一个页面的数据域在内存中是明文的，在外存中是以密文的形式存放的。加密时，只加密页面中的数据域。由于数据库中数据的特性，加密时通常采用分组加密算法，所以要处理加密数据长度不是分组长度整数倍的情况。例如，假设采用加密算法是64位分组，8个节，如果数据域不是8的整数倍，则在数据域前面多取几个字节，使其为8的整数倍再进行加密。加密后，在页头使用两个比特来设置加密标识，指示出当前页面已加密及使用的密钥的编号。

在DBMS内核层实现数据库加密，在设计数据库加密体系结构时需要重点考虑两个因素：一是要易于与目前DBMS集成，二是要考虑数据库加密后的查询性能。DBMS是非常复杂的系统，所以要尽可能地减少内部结构的改变，最好只是在合适的位置添加相应的加/解密模块。在数据库中存放敏感数据的关系加密存储后，数据块写入、读出时都要进行相应的加/解密操作，所以采用的体系结构要尽可能地减小对性能的影响。

基于上面的考虑，在本发明的体系结构中对DBMS的改动甚小，只是在DBMS中增加了一个加/解密模块，并在系统表中增加了一个安全字典来存放密钥。用户在创建关系的时候，可以指定是不是对其加密存储，如果需要加密，则在系统表的安全字典中插入一条相应的记录。在DBMS将数据写到外存时，查询一下系统表中的安全字典，如果需要加密，则首先对数据加密，再将其写到外存。同理，当DBMS从外存中读入数据块时，如果数据块是加密过的，则加/解密模块查询安全字典，取出相应的密钥解密数据块。从图中的结构可以看出，增加加/解密模块以后对DBMS的功能没有任何影响，而且可以利用索引，使得对系统性能的影响降至最低。

为了支持数据库加密，在系统表中增加了一个安全字典，它由两个表组成，一个是加密关系表，另一个是密钥授权表。

加密关系表的每条记录形如：

(DID，RID，ETag，Key1，Key2，UpdtTime，UpdtTag，UpdtCnt，ValidTime)

其中DID和RID分别是数据库ID和关系ID。ETag标识关系表是否加密存储及加密存储时当前活动密钥编号。Key1、Key2分别是密钥1、密钥2，UpdtTime是上次密钥更新时间，UpdtTag、UpdtCnt分别是密钥更新是否完成和未完成时当前已更新到的块号，之所以有两个密钥是为了以后密钥更新的高效性。ValidTime是密钥的更新周期。

密钥授权表的每条记录形如：

(EID，DID，RID，Valid，StartTime，EndTime)

其中EID是用户密钥ID，DID和RID同前，Valid指示当前记录是否有效，StartTime和EndTime指示出起始及截止有效日期。

同时，增设了系统安全管理员(SSA)，使用专门的接口来管理和维护安全字典。他通过在密钥授权表中添加记录来授予某些用户访问机密数据的权限，也可以调整密钥的更新周期，还负责用户EID的发放和管理。数据库管理员(DBA)负责常规的数据库管理和维护、用户访问控制的授权等，但DBA没有权限查询加密过的数据，也不能访问安全字典，这样就避免了DBA权限过大对敏感数据构成的威胁。DBA的访问控制授权与SSA的密钥授权是各自独立的，从而相互制约。

为了实现对数据库加密，需要扩展ANSI SQL92标准的数据定义语言DDL。主要在两个方面扩展，一是关系的创建语句，另一个是关系结构的修改语句。

在创建新关系时，可以指明是不是对此关系中的数据加密存储，扩展后的语法为：

CREATE TABLE关系名(属姓名类型，……，完整性约束，……[，ENCRY])

对于已经创建的关系，可以修改关系中的数据是否加密存储，扩展后的语法为：

ALTER TABLE关系名WITH ENCRY[NOW]|WITHOUT ENCRY

当用户创建一个关系时，如果指出这个关系中的数据需要加密存储，那么密钥产生器就会自动产生一个密钥，并在安全字典的加密关系表中插入如下一条元组：(数据库ID，新创建关系ID，1，新产生密钥，0，当前系统时间，1，0，默认密钥有效期)。将ETag设为1表示关系需要加密存储，并且当前活动密钥是密钥1。因为还没用到密钥2，将Key2置0。将UpdtTag设为1表示已完成密钥的更新。

在关系已经创建后，可以修改加密选项。如果将加密改为不再加密，只需在加密关系表中将相应元组的ETag字段设为0，指示出关系不再需要加密存储，并不用解密整个关系。用户以后访问这个关系时，如果从外存读入的数据块是加密过的，则系统自动从安全字典的加密关系表中取出相应的密钥解密。在将其写回到外存上时，先将页头的是否加密标识设为未加密，再明文写回，也就是说，在用户对原加密存储的关系访问的过程中完成了关系数据由密文存储到明文存储的转变。

在将以前未加密存储的关系修改为需要加密存储时，与新创建一个关系且指定加密时类似，在安全字典的加密关系表中插入如下一条记录：

(数据库，被修改关系，1，新产生密钥，0，当前系统时间，0，0默认密钥有效期)

与新创建一个关系且指定加密存储时的区别是，将更新是否完成标识UpdtTag设置为0，指示当前更新未完成。因为在修改是否加密项的时候，关系中可能已有数据，而且通常不是DBMS负荷较低的时候，为了避免影响系统的性能，没有立即将数据转为加密存储的形式。通过这一设定，把关系由非加密存储到加密存储的转变交给在系统低负荷时自动运行的密钥更新程序去完成。如果关系加密存储的需求特别紧急，此时可以使用参数，密钥产生器会产生一个新密钥，系统立即从外存中依次读出关系中的所有块，加密后再写到外存。

使用本发明的维护数据库安全的方法的数据库的访问过程如图3所示：

1.用户首先使用分配的用户名和密码登录系统；

2.访问控制模块对用户名与密码进行认证，如果正确，DBMS与用户建立连接；

3.用户提交查询、更新等语句；

4.访问控制模块首先检查用户是否有权限访问语句中指定的关系，通过后，从外存中读入关系数据块，如果数据块是未加密过的(由页头判断)，直接将结果返回给用户；否则，调用安全控制模块；

5.安全控制模块获取用户的EID，然后查询安全字典中的用户密钥授权表，如果该EID有加密数据的密钥授权，则安全控制模块从加密关系表中取出相应的密钥进行解密，最后向用户提交结果。

Claims

1.一种维护数据库安全的方法，其在DBMS内核层进行加密，即在数据物理存取之前进行加/解密操作，其特征在于包括以下步骤：

步骤S10：用户创建关系；

步骤S30：密钥产生器自动产生一个密钥；

步骤S40：将密钥存入安全字典中的加密关系表中；

步骤S60：利用安全字典中密钥对数据进行加密；

步骤S70：将数据写出到外存。

2.一种维护数据库安全的系统，其特征在于：包括数据库加密体系和对SQL的扩展。

3.如权利要求2所述的维护数据库安全的系统，其特征在于：所述的数据库加密体系包括一个加/解密模块且在系统表中设置有一个用来存放密钥的安全字典。

4.如权利要求3所述的维护数据库安全的系统，其特征在于：所述的安全字典由加密关系表和密钥授权表组成。

5.如权利要求4所述的维护数据库安全的系统，其特征在于：所述的对SQL的扩展包括关系创建语句和关系结构修改语句。