首页 > 数据库 >SQL Server2012数据库TDE加密

SQL Server2012数据库TDE加密

时间：2024-07-09 09:19:34浏览次数：20  
标签：加密 Server2012 数据库 TDE -- master KEY SQL MASTER

SQL Server数据库TDE加密

1.1 案例环境介绍

完成本节数据TDE加密的演示，需要准备两台虚拟机环境，一台模拟生产数据库，一台模拟迁移还原的数据库环境。

1.1.1 案例环境配置

完成本章案例数据备份部分的学习，需要准备3个节点的环境。具体环境配置要求，见表6-3。

表6-3 本案例环境配置

序号

角色

IP地址

操作系统

安装软件

备注

1

生产数据库

192.168.0.131

Windows Server2016

Datacenter版

SQL 2012企业版SP1

2

还原数据库

192.168.0.133

Windows Server2012R2

SQL 2012企业版SP1

1.1.2 案例拓扑图

如图6.101所示，这是完成本案例的实验环境拓扑图。

图6.101 SQL Server数据库TDE加密环境拓扑图

1.2 数据库加密实施

本章在实验环境首先对数据库进行TDE加密，再展示合法用户在拥有密钥和证书得前提下，完成数据库的异机还原和附加的操作。

1.2.1 执行TDE加密

1.创建MASTER KEY（主密钥） 和CERTIFICATE（证书）

在“Microsoft SQL Server Managerment Studio”中，点击“新建查询”，在查询分析器中执行如下命令，创建MASTER KEY（主密钥） 和CERTIFICATE（证书）。

USE master

GO

--创建master数据库下的主密钥,在生产环境中PASSWORD要设置的足够复杂。

CREATE MASTER KEY ENCRYPTION BY PASSWORD = N'kgc@123';

--创建证书用来保护数据库加密密钥 (DEK)

CREATE CERTIFICATE master_server_certficate WITH

SUBJECT = N'Master Protect DEK Certificate';

创建主密钥和证书后，执行以下命令，检测密钥状态。

--查看master数据库主密钥状态

SELECT name,is_master_key_encrypted_by_server FROM

sys.databases;

执行结果，如图6.102所示。is_master_key_encrypted_by_server值为1，代表已创建主密钥。

图6.103 查看主密钥状态

执行以下命令，查看主密钥的详细信息。

--查看master数据库下的密钥信息

SELECT * FROM sys.symmetric_keys;

执行结果如图6.61所示。

图6.61 查看主密钥的详细信息

  1. 创建数据库和数据库加密密钥

首先创建测试数据库KGCDB,再创建由证书保护的数据库加密密钥（对称密钥）。

--创建测试数据库KGCDB

CREATE DATABASE KGCDB;

USE KGCDB;

GO

--创建由master_server_cert保护的DEK 数据库加密密钥 （对称密钥）

CREATE DATABASE ENCRYPTION KEY

WITH ALGORITHM = AES_128

ENCRYPTION BY SERVER CERTIFICATE master_server_certficate;

执行结果如图6.62所示。

图6.62 创建数据库和加密密钥

执行结果有一行警告信息。

警告: 用于对数据库加密密钥进行加密的证书尚未备份。应当立即备份该证书以及与该证书关联的私钥。如果该证书不可用，或者您必须在另一台服务器上还原或附加数据库，则必须对该证书和私钥均进行备份，否则将无法打开该数据库。

提示应该立即备份证书和私钥。

3.备份主密钥、证书和私钥

首先创建密钥保存目录，然后在查询分析器中执行如下命令，备份证书、私钥和master数据库的主密钥。

USE master;

GO

--打开数据库连接MASTER KEY

OPEN MASTER KEY DECRYPTION BY PASSWORD = 'kgc@123';

--备份master系统数据库的CERTIFICATE

BACKUP CERTIFICATE master_server_certficate TO FILE = 'D:\SQL2012_TDE_Keys\master_server_certficate.cer'

WITH PRIVATE KEY (

FILE = 'D:\SQL2012_TDE_Keys\master_server_certficate.pvk' ,

ENCRYPTION BY PASSWORD = 'kgc@123');

--关闭数据库连接MASTER KEY

CLOSE MASTER KEY

GO

USE master;

GO

--打开数据库连接MASTER KEY

OPEN MASTER KEY DECRYPTION BY PASSWORD = 'kgc@123';

--备份一下数据库主密钥(MASTER KEY)

BACKUP MASTER KEY TO FILE = 'D:\SQL2012_TDE_Keys\master.cer'

ENCRYPTION BY PASSWORD = 'kgc@123';

--关闭数据库连接MASTER KEY

CLOSE MASTER KEY

GO

执行备份完成后，会在密钥保存目录看到如图6.63所示三个文件：

图6.63备份证书、私钥和主密钥文件

4.执行TDE加密

在查询分析器中，执行如下命令对KGCDB数据库开启TDE加密。关于关闭TDE加密，详见6.64章节。

USE KGCDB

GO

--生产环境下，设置成单用户模式在运行加密

ALTER DATABASE KGCDB SET SINGLE_USER WITH ROLLBACK IMMEDIATE;

GO

--开启TDE 加密

ALTER DATABASE KGCDB SET ENCRYPTION ON;

GO

--设置多用户模式访问

ALTER DATABASE KGCDB SET MULTI_USER WITH ROLLBACK IMMEDIATE;

GO

--再次开启TDE 加密

ALTER DATABASE KGCDB SET ENCRYPTION ON;

GO

完成TDE加密后，执行如下命令，来查看加密结果。

--查看KGCDB数据库加密结果

SELECT DB_NAME(database_id),encryption_state FROM sys.dm_database_encryption_keys;

执行后结果如图6.64所示。

图6.64 KGCDB数据库加密状态

执行查询后显示，encryption_state值为3，代表已执行TDE加密。

encryption_state值得含义，如下：

0 = No database encryption key present, no encryption (不存在数据库加密密钥，不加密)

1 = Unencrypted (未加密)

2 = Encryption in progress （正在加密）

3 = Encrypted （已加密）

4 = Key change in progress （正在进行的关键更改）

5 = Decryption in progress （正在解密）

6 = Protection change in progress (正在进行保护更改：正在更改加密数据库加密密钥的证书或非对称密钥)

  1. 备份数据库

为完成后面得测试，先备份数据库。在服务器上创建一个备份文件存放目录，本案例是D:\SQL2012_Backup。然后执行如下命令。

USE master;

GO

--打开数据库连接MASTER KEY

OPEN MASTER KEY DECRYPTION BY PASSWORD=N'kgc@123';

BACKUP DATABASE KGCDB

TO DISK='D:\SQL2012_Backup\kgcdb.bak'

--关闭数据库连接MASTER KEY

CLOSE MASTER KEY

备份完成后，在D:\SQL2012_Backup目录下，可以看到kgcdb.bak备份文件。

1.2.2 还原数据库

首先模拟数据库备份文件被人非法获得，直接还原测试，提示异常。找不到服务器证书。这说明数据库的TDE加密是有效的，没有密钥，即使拿到数据库备份文件也将无法还原数据，无法读取数据内容。如图：6.65所示。

图6.65 数据库直接还原失败

作为数据库备份，当合法用户需要在另外一台服务器上还原数据库，需要执行如下步骤。

在“Microsoft SQL Server Managerment Studio”中，点击“新建查询”。如图6.66所示。

图6.66 新建查询

将前面备份的密钥复制到目标服务器的相应路径下。本案例中为C:\SQL2012_TDE_Keys目录下。然后在查询分析器中，执行如下命令：先还原master key，注意输入正确的PASSWORD。

USE master;

GO

--先在另外一台机器还原了MASTER KEY (该机器master数据库无master key)

RESTORE MASTER KEY

FROM FILE = 'C:\SQL2012_TDE_Keys\master.cer'

DECRYPTION BY PASSWORD = 'kgc@123'

ENCRYPTION BY PASSWORD = 'kgc@123';

GO

命令执行结果，如图6.67所示。

图6.67 还原MASTER KEY

再执行如下命令还原CERTIFICATE证书。在查询分析器中，执行如下命令：

use master;

go

--打开数据库连接MASTER KEY

OPEN MASTER KEY DECRYPTION BY PASSWORD=N'kgc@123';

--还原证书

CREATE CERTIFICATE master_server_certficate

FROM FILE = 'c:\SQL2012_TDE_Keys\master_server_certficate.cer'

WITH PRIVATE KEY (FILE = 'c:\SQL2012_TDE_Keys\master_server_certficate.pvk',

DECRYPTION BY PASSWORD = 'kgc@123');

GO

--关闭数据库连接MASTER KEY

CLOSE MASTER KEY

接下来，执行以下命令，还原数据库。

USE master;

GO

--打开数据库连接MASTER KEY

OPEN MASTER KEY DECRYPTION BY PASSWORD=N'kgc@123';

--还原数据库，注意备份备份文件位置和数据库文件所在路径

RESTORE DATABASE kgcdb FROM DISK='c:\SQL2012_Backup\kgcdb.bak'

WITH MOVE 'kgcdb'

TO 'C:\Program Files\Microsoft SQL Server\MSSQL11.MSSQLSERVER\MSSQL\DATA\kgcdb.mdf',

MOVE 'kgcdb_log'

TO 'C:\Program Files\Microsoft SQL Server\MSSQL11.MSSQLSERVER\MSSQL\DATA\kgcdb_log.ldf'

GO

--关闭数据库连接MASTER KEY

CLOSE MASTER KEY

完成以上操作，数据库被成功还原到另一台服务器上。

1.2.3 附加数据库

模拟数据库分离后，库文件被人非法获得，直接在另外一台服务器附加测试。

首先，将前面已经执行TDE加密的数据库KGCDB分离，然后把数据库文件KGCDB.mdf和KGCDB_log.ldf，复制到另一台安装有SQL2012的服务器上附加测试。执行附加操作，报错如图6.68所示，提示找不到证书，附加失败。

这说明，我们执行了TDE加密后，数据库文件得到了保护，在没有证书和密钥的情况下，即使拿到数据库文件也无法附加和读取数据。

图6.68 直接附加数据库失败

接下来演示作为合法用户，执行数据库分离再附加的操作。

如同本案例6.6.2章节所示，对于一个普通的数据库，首先要执行还原证书密钥等操作。

将前面备份的加密密钥复制到目标服务器的相应路径下。本案例中为C:\SQL2012_TDE_Keys目录下。然后在查询分析器中，执行如下命令：先还原master key，注意输入正确的PASSWORD。

USE master;

GO

--先在另外一台机器还原了MASTER KEY (该机器master数据库无master key)

RESTORE MASTER KEY

FROM FILE = 'C:\SQL2012_TDE_Keys\master.cer'

DECRYPTION BY PASSWORD = 'kgc@123'

ENCRYPTION BY PASSWORD = 'kgc@123';

GO

再执行还原证书的操作。

执行如下命令还原CERTIFICATE证书。在查询分析器中，执行如下命令：

use master;

go

--打开数据库连接MASTER KEY

OPEN MASTER KEY DECRYPTION BY PASSWORD=N'kgc@123';

--还原证书

CREATE CERTIFICATE master_server_certficate

FROM FILE = 'c:\SQL2012_TDE_Keys\master_server_certficate.cer'

WITH PRIVATE KEY (FILE = 'c:\SQL2012_TDE_Keys\master_server_certficate.pvk',

DECRYPTION BY PASSWORD = 'kgc@123');

GO

--关闭数据库连接MASTER KEY

CLOSE MASTER KEY

接下来，执行以下命令，附加数据库。

USE master;

GO

--打开数据库连接MASTER KEY

OPEN MASTER KEY DECRYPTION BY PASSWORD=N'kgc@123';

--附加数据库

CREATE DATABASE KGCDB

ON PRIMARY

(

FILENAME=N'C:\Program Files\Microsoft SQL Server\MSSQL11.MSSQLSERVER\MSSQL\DATA\KGCDB.mdf'

)

LOG ON

(

FILENAME=N'C:\Program Files\Microsoft SQL Server\MSSQL11.MSSQLSERVER\MSSQL\DATA\KGCDB_log.ldf'

)

FOR ATTACH ;

GO

--关闭数据库连接MASTER KEY

CLOSE MASTER KEY

执行以上操作完成后，刷新一下数据库目录，发现KGCDB数据库已成功完成附加。如图6.69所示。

图6.69 还原密钥和证书后附加数据库成功

1.2.4 补充配置

完成以上的配置后，还存在一个问题。

由于在新的数据库服务器上MASTER KEY以及证书是通过RESTORE语句还原得到的，并不是由当前SQL Server实例创建的，这将会导致新建的数据库，如果也要进行TDE加密时，无法完成。因此，在新的服务器上还原或附加TDE加密数据库成功后，还应该重建新的SQL Server服务器或实例的MASTER KEY和CERTIFICATE。按如下步骤执行操作：

1.首先关闭KGCDB数据库的TDE加密，在SQL Server的查询分析器中执行如下命令。

USE KGCDB

GO

--生产环境下，设置成单用户在运行加密

ALTER DATABASE KGCDB SET SINGLE_USER WITH ROLLBACK IMMEDIATE;

GO

--关闭TDE 加密

ALTER DATABASE KGCDB SET ENCRYPTION OFF;

GO

--设置多用户访问

ALTER DATABASE KGCDB SET MULTI_USER WITH ROLLBACK IMMEDIATE;

GO

--再次关闭TDE 加密

ALTER DATABASE KGCDB SET ENCRYPTION OFF;

GO

2.接下来删除数据库KGCDB的DEK 数据库加密密钥 （对称密钥）。执行如下命令：

USE KGCDB

GO

--如果创建后，要删除KGCDB数据库上的DEK 数据库加密密钥，可以使用下面的语句

DROP DATABASE ENCRYPTION KEY

  1. 删除当前SQL Server中master系统数据库的MASTER KEY和CERTIFICATE，执行如下命令：

USE master

GO

--如果创建后要删除master数据库下的证书，可以使用下面的语句

DROP CERTIFICATE master_server_certficate

GO

--如果创建后要删除master数据库下的主数据库密钥，可以使用下面的语句

DROP MASTER KEY

GO

  1. 重新创建master系统数据库的MASTER KEY（密钥）和CERTIFICATE（证书），执行如下命令。设置全新的PASSWORD，在生产环境中PASSWORD要足够复杂。

USE master

GO

--创建master数据库下的主数据库密钥

CREATE MASTER KEY ENCRYPTION BY PASSWORD = N'kgc@6789';

GO

--创建证书用来保护 数据库加密密钥 (DEK)

CREATE CERTIFICATE master_server_certficate WITH

SUBJECT = N'Master Protect DEK Certificate';

GO

  1. 新的MASTER KEY（密钥）和CERTIFICATE（证书）创建完成后，执行以下命令检查测试。

USE master

GO

--查看master数据库的MASTER KEY状态

SELECT name,is_master_key_encrypted_by_server FROM

sys.databases;

执行结果，如图6.70所示：

图6.70 检测MASTER KEY状态

输出结果is_master_key_encrypted_by_server值为1，代表已创建密钥。如果不执行以上操作。KGCDB数据库还原或附加后，is_master_key_encrypted_by_server值为0，因此，对于新建的数据库执行TDE加密，将无法成功。

完成以上操作后，再执行6.7.1步骤，针对需要执行TDE加密的数据库，全部开启加密配置即可。详见6.7.1章节，不再重复演示。

1.2.5 注意事项

  1. 完成MASTER KEY（密钥）和CERTIFICATE（证书）配置后，应立即进行导出备份，详见6.7.1章节。

  2. 保障TDE加密的安全性，对导出密钥的管理是关键。应妥善保管好证书和密钥，不能和数据库放在同一台服务器上。
    ————————————————
    原文链接：https://blog.csdn.net/xiaohuixing16134/article/details/105710109

标签：加密,Server2012,数据库,TDE,--,master,KEY,SQL,MASTER
From： https://www.cnblogs.com/xtiandi/p/18291073

相关文章

  • openEuler安装postgresql
    yuminstall-ygccmakereadline-develzlib-devellibicu-develcd/usr/localtarzxvfpostgresql-16.0.tar.gzcdpostgresql-16.0./configure--prefix=/usr/local/postgresqlmake-j8&&makeinstalladduser postgresmkdir/usr/local/postgresql/datac......
  • 在openEuler 22.03上使用yum安装PostgreSQL单机环境
    环境申请由于环境要国产化，选择openEuler22.03LTS系统，这里测试一下在openEuler上安装PG，过程如下。代码语言：javascript复制dockerrm-flhropeneuler22dockerrun-itd--namelhropeneuler22-hlhropeneuler22\-p15432:5432-p7389:3389\--privileged=true......
  • docker安装mysql8.0.23
    拉取镜像dockerpullmysql:8.0.23创建挂载文件mkdir-p/home/docker/mysql/confmkdir-p/home/docker/mysql/datamkdir-p/home/docker/mysql/logcd/home/docker/mysql/conftouchmy.cnf编辑my.cnfvimy.cnf内容如下：default-character-set=utf8[mysql]defa......
  • Ubuntu安装MySQL8步骤
    在Ubuntu系统上搭建MySQL的过程：1、首先先将系统通过命令更新到最新，命令如下sudoapt-getupdatesudoapt-getupgrade 2、执行命令行安装MySQL8sudoapt-getinstallmysql-server 3、第一次进入需要用权限进入，可以跳过输入密码的过程，然后等进入MySQL以后通过命令修改......
  • redis如何与mysql数据保持一致？
    redis如何与mysql数据保持一致？同步双写：cacheasidepattern，读：先读缓存再读数据库，一个缓存的过期时间，实现起来简单好用极限情况还会有数据不一致的风险。CAP定理：c一致性a可用性p分区容错性，cp或者是ap异步双写：基于消息队列实现，写：生产者：先更新数据库，向队列发消息，消费者：监听消......
  • sql注入
    什么是sql注入？SQL注入（SQLInjection）是一种代码注入攻击，其中攻击者通过将恶意的SQL代码插入到查询中，以操纵数据库执行意图之外的操作。这通常是由于应用程序没有正确验证或转义用户输入所导致的。以下是对SQL注入的详细介绍，并以MySQL为例说明。如何防止sql注入？1、使用......
  • json数据写入到mysql数据中
    importpymysql#json文件中格式一个列表包含一个个的字典数据#[{"title":"胖猫事件-21岁游戏代练胖猫跳江身亡，PUA捞女女主谭竹遭网友报告视频","cover":"https://suvip888.com/20240516/U8NEMN2P/1.jpg","m3u8_url":"https://vodvip888.com/20240516/U8NEMN2P/......
  • MySQL数据库基本操作-DDL和DML
    1.DDL解释DDL(DataDefinitionLanguage)，数据定义语言，该语言部分包括以下内容：对数据库的常用操作对表结构的常用操作修改表结构2.对数据库的常用操作功能SQL查看所有的数据库showdatabases；查看有印象的数据库show databaseslike'_xx%'（_一个字符；%任意字符）创建数据......
  • .NetCore中EFCore for MySql整理MySql.EntityFrameworkCore
    一、MySql.EntityFrameworkCore 这个是官方给的一个EF操作MySql数据库的框架。使用方法跟EFforSqlServer一样。 二、安装命令NuGet\Install-PackageMySql.EntityFrameworkCore-Version8.0.5  项目依赖 安装后的结果：   三、EFCodeFirst模式连......
  • Java面试八股之MySQL主从复制机制简述
    MySQL主从复制机制简述MySQL的主从复制机制是一种数据复制方案，用于在多个服务器之间同步数据。此机制允许从一个服务器（主服务器）到一个或多个其他服务器（从服务器）进行数据的复制，从而增强数据冗余、提高读取性能，并且为灾难恢复提供保障。以下是MySQL主从复制机制的简要概述：复制......

赞助商

阅读排行

网站主页关于我们联系我们网站地图

本网站内容转载自其他媒体，侵权联系[admin##ips99.com]。

Copyright © 2020-2023 IPS99 版权所有 IPS99