一文读懂十大数据存储加密技术

从实战角度看，当下的数据泄露事件频发，面对新安全挑战与新合规要求，企业安全防护体系正在从“以网络为中心的安全”，升级到“侧重以数据为中心的安全”。而密码作为网络安全的杀手锏技术和核心支撑，天然具备安全防护基因，是实现数据安全最经济、最有效、最可靠的手段。尤其在政务、金融、交通文旅、央企、工业等行业，个人信息保护、商业秘密保护、国密合规等方面的建设亟待加速。

聚焦到数据实际流转过程，在每个关键节点上，作为生产要素的数据都面临着众多威胁。通过对数据流转中的威胁分析，选取关键安全增强点进行加密，用这种方式可以为数据重新塑造一个虚拟边界，实现防范内外部安全威胁，是当前数据安全实战防护的有效手段。

图1：基于数据流转路径的威胁模型分析

从合规角度看，数据安全技术迎来发展新趋势：第一，数据安全技术正逐步获得国家政策重视以及用户认可，从顶层规划到配套法律法规的不断加码，企业层面越发重视加密技术应用；第二，数据安全技术与业务的结合越来越紧密，业务应用层正成为数据安全建设的重点，将成为解决企业在平衡合规压力、改造复杂业务和信息系统困境的关键所在；第三，数据安全技术应用扩展到各领域行业，如国家标准GB/T 39786-2021《信息安全技术 信息系统密码应用基本要求》的发布，替代行标GM/T 0054-2018《信息系统密码应用基本要求》，密码技术的行业及场景适用性进一步延伸。

数据安全本质上是由攻防对抗推动发展的，实战是加密技术应用的内在需求，合规为加密技术推广提供加速引擎，在实战与合规双驱动下，数据存储加密技术在业务中的应用成为大势所趋。

二、寻找数据流转中的安全增强点

数据存储加密防护的难点，在于如何对流转中的数据主动实施加密等保护，确保数据不被泄露或篡改，这里的数据包括结构化与非结构化等类型。结构化数据一般是指可以使用关系型数据库存储和表示，表现为二维形式的数据，一般来讲，结构化数据也就是传统数据库中的数据形式；非结构化数据，就是指没有固定结构的数据，包括各种文档、图片、视频、音频等。

传统的“数据库加密”往往体现为密文数据存储到数据库后的情形，一般局限于结构化数据，而在企业实战化场景中，数据库只是数据处理的一个环节，因此，传统的“数据库存储加密”是“数据存储加密”的子集。

部署位置：数据库

UDF用户自定义函数加密，作为一种在数据库侧的高灵活加解密集成方式，适用于某些数据库需要定制加解密的场景，尤其是实现基于国密算法的数据加解密。

1、扩展能力强。该加密技术适用于对数据有“定制化实现”的场景化需求，能够根据用户的业务需求，对数据实现丰富多样的加解密处理。

1、通用性低。该加密技术需要根据不同数据库的类型，做相对应的定制化实现，并且在存储过程或SQL中加以调用。

原理：透明文件加密（Transparent File Encryption，简称为TFE），是在操作系统的文件管理子系统上部署加密插件来实现数据加密，基于用户态与内核态交付，可实现“逐文件逐密钥”加密。在正常使用时，计算机内存中的文件以明文形式存在，而硬盘上保存的数据是密文，如果没有合法的使用身份、访问权限以及正确的安全通道，加密文件都将以密文状态被保护。

透明文件加密技术几乎可以适用于任何基于文件系统的数据存储加密需求，尤其是原生不支持透明数据加密的数据库系统。但是，由于文件系统加密技术无法提供针对数据库用户的增强权限控制，因此对于需要防范内部数据库超级用户的场景并不适用。

1、可对应用进程授权。透明文件加密的防护颗粒度较细，可以适用于对应用进程有绑定需求的场景，只有授权的“白名单”应用进程访问文件时，才能获得明文，而未授权应用只能获取密文。