Oracle安全解决方案.pdf

Oracle 安全解决方案 Oracle 为安全提供了一整套解决方案，总结内容如下： 1. Oracle 安全工具 2. Oracle 解决方案 3. 安全手段详解 3.1. Oracle Advanced Security Oracle Advanced Security 提供了透明的、基于标准的安全性，它通过静止数据加密、网 络加密和强身份验证服务对数据提供保护。Oracle Advanced Security 选件包含在 Oracle 企 业版中。 3.1.1. 透明数据加密（TDE ）  简介 透明数据加密 （TDE ）自动对Oracle 数据库写入到存储的数据进行加密，并在请求用户 通过了Oracle 数据库的身份验证，并通过了由Oracle Database Vault 、Oracle Label Security 和 其他虚拟专用数据库执行的所有访问控制检查后再自动解密这些数据。数据库备份的数据仍 然是加密数据，这就为备份介质提供了保护。对于逻辑备用数据库和物理备用数据库均可以 配置TDE ，从而为高可用性体系结构中的敏感数据提供全面保护。TDE 作为 Oracle Advanced Security 选件的一部分进行打包，该选件包含在 Oracle 企业版中。 Oracle Advanced Security TDE 既可以对表列进行加密（最小粒度：列），也可以加密整个 表空间。TDE 表空间加密无需识别和加密个别列，升级到Oracle Database 11g 的用户都可以 使用新的TDE 表空间加密功能来保护整个应用程序。存储在被加密表空间中的所有数据都将 自动加密。备份数据库时，加密的文件在目标介质上仍保持其加密状态，这样，即使备份介 质丢失或被盗，仍然能保护其上的信息不会外泄。TDE 表空间加密可以无缝地与Oracle Streams、Oracle Compression 和Oracle Exadata Smart Scans 协同工作。由于压缩而实现的存 储节省将维持不变，因为压缩过程完成后才对数据进行加密。 透明加密问题 存储空间和性能 与未加密的表空间相比，加密的表空间不会要求更高的存储空间。 与列级 TDE 相关的开销分为两方面：存储和性能。在性能方面，与加密或解密常用属 性（如信用卡号码）相关的开销估计为 5% 。当索引基于加密列构建时，索引的创建将使用 密文。如果经 TDE 加密的列已建立索引并为 SQL 语句引用，Oracle 将对 SQL 语句中用到 的值进行透明加密并使用密文进行索引查询。TDE 相关的存储开销可能会很大，这是因为 每个加密值都有额外 20 个字节的完整性检查。此外，TDE 会将加密值填充到 16 个字节， 所以如果信用卡号码要求 9 个字节的存储空间，加密该号码将要求额外 7 个字节的存储空 间。最后，如果为加密值指定了 salt （密码加盐），该 salt 将要求额外 16 个字节的存储空 间。总之，加密表中的一列将要求每行有 33 到 48 个字节的额外存储空间。 加密状态 TDE 支持 3DES168、AES128 （表空间加密默认算法）、AES192 （列级TDE 默认算法） 和 AES256 ，但不允许插入其他加密算法。 使用 TDE 加密后的数据在离开数据库前会首先进行解密，在网络传输时数据为明文， 可采用两种方案：1）可以通过 Oracle 的网络加密解决方案在网络上进行加密，该方案和 TDE 一同包含在 Oracle Advanced Security 选件中。Oracle 的网络加密解决方案可以对 Oracle SQL*Net 上传送的所有数据进行加密。2 ）Oracle 通过 Oracle8i 引入了 DBMS_OBFUSCATION_TOOLKIT 。Oracle 10g 版本 1 引入了新的 DBMS_CRYPTO 程序包。这 些程序包中的各