如何使用 SSL 来确保与 SQL Server 2000 安全通信

本页内容

	目标
	适用范围
	如何使用本章内容
	摘要
	您必须了解的背景知识
	安装服务器验证证书
	验证证书是否已安装
	在客户端安装 CA 颁发的证书
	强制所有客户端使用 SSL
	允许客户端决定是否使用 SSL
	验证通信是否已加密
	其他资源

目标

本章的目标是：

•	将 SQL Server 2000 配置为要求所有客户端使用 SSL 以确保安全通信。
•	将 SQL Server 2000 配置为向客户端提供使用 SSL 进行安全通信的选项。

返回页首

适用范围

本章适用于以下产品和技术：

•	Microsoft Windows® XP 或 Windows 2000 Server (Service Pack 3) 以及更高版本的操作系统
•	Microsoft 证书服务
•	Microsoft 网络监视器
•	Microsoft .NET Framework 版本 1.0 (Service Pack 2) 以及更高版本
•	Microsoft Visual Studio® 1.0 .NET 以及更高版本
•	Microsoft Visual C#® .NET
•	SQL Server 2000 (Service Pack 2) 以及更高版本

返回页首

如何使用本章内容

若要学好本章内容：

•	必须具有两台运行 Windows XP 或 Windows 2000 Server 操作系统的计算机，并配置如下： • 数据库服务器计算机上具有 SQL Server 2000，且已安装了 Northwind 示例数据库。 • 在客户端计算机上安装了 Microsoft Data Access Components (MDAC) 2.6 或更高版本或 SQL Server 2000 客户端连接库。
•	您必须具有使用 Visual C# .NET 进行编程的经验。
•	您必须具有使用 Visual Studio .NET 开发环境的经验。
•	您必须具有配置 SQL Server 2000 的经验。
•	您必须具有访问 Microsoft 证书服务以生成 SSL 证书的权限。
•	您必须具有使用网络监视器工具的经验。
•	阅读第 4 章安全通信。其中介绍了 SSL 及其最常见的用途。
•	阅读本指南中的第 12 章数据访问安全性。这一章简要概述了数据库安全性问题和选项。

返回页首

摘要

安全套接字层 (SSL) 是一套提供身份验证、保密性和数据完整性的加密技术。SSL 最常用来在 Web 浏览器和 Web 服务器之间建立安全通信通道。然而，还可以使用 SSL 来保护客户端应用程序（直接调用方）与 Microsoft® SQL Server™ 2000 之间的通信。

本章介绍如何将 SQL Server 2000 配置为使用 SSL 确保与客户端应用程序进行安全通信。

返回页首

您必须了解的背景知识

在开始学习本章之前，您应该知道：

•	SSL 是使用 Internet 协议安全性 (IPSec) 来确保数据库通信安全的替代方法。 有关如何使用 IPSec 确保数据库通信安全的详细信息，请参见本指南中的如何使用 IPSec 在两个服务器之间进行安全通信。
•	当客户端或服务器 IP 地址发生更改时，并不需要更改配置。这一点与 IPSec 不同。
•	必须在数据库服务器计算机上安装服务器证书，SSL 才能运行。客户端计算机上还必须有来自同一机构的根证书颁发机构 (CA) 证书。
•	客户端必须已经安装了 SQL Server 2000 连接库。早期版本或通用库会无法运行。
•	SSL 只适用于 TCP/IP（为 SQL Server 推荐采用的通信协议）和命名管道。
•	您可以将服务器配置为对所有连接强制使用加密。
•	您可以在客户端上执行以下操作： • 强制对所有传出连接进行加密。 • 通过使用连接字符串，允许客户端应用程序选择是否按连接进行加密。

返回页首

安装服务器验证证书

SSL 要求服务器拥有由所连接的客户端信任的证书颁发机构 (CA) 颁发的服务器身份验证证书。

•

安装服务器证书 1. 使用管理员帐户登录到数据库服务器计算机。 2. 启动 Internet Explorer 并浏览到 Microsoft 证书服务，例如： http://MyCA/certsrv 3. 单击“申请一个证书”，然后单击“下一步”。 4. 单击“高级申请”，然后单击“下一步”。 5. 单击“使用表格向这个 CA 提交一个证书申请”，然后单击“下一步”。 6. 填写证书申请表，指明以下几点： 1. 在“名称”字段中，输入运行 SQL Server 的计算机的完全限定域名。例如： sql01.nwtraders.com 2. 在“预期目的”（或“需要的证书类型”）字段中，单击“服务器身份验证证书”。 3. 对于加密服务提供程序 (CSP)，单击“Microsoft RSA 通道加密提供程序”。 注意：Microsoft 基本加密提供程序 1.0 版和 Microsoft 增强加密提供程序同样有效。而 Microsoft 强加密提供程序无效。 4. 选择“使用本地机器保存”复选框。 注意：不要选择“启用强私钥保护”。 7. 单击“提交”提交申请。 如果证书服务器自动颁发证书，则可以立即安装证书。否则，可以浏览到 Microsoft 证书服务并选择“检查挂起的证书”，在 CA 管理员颁发证书之后安装证书。

返回页首

验证证书是否已安装

此过程验证是否已成功安装服务器证书。

•	验证证书是否已安装 1. 单击任务栏上的“开始”按钮，然后单击“运行”。 2. 键入“mmc”，然后单击“确定”。 3. 在“控制台”菜单上，单击“添加/删除管理单元”。 4. 单击“添加”。 5. 单击“证书”，然后单击“添加”。 6. 单击“计算机帐户”，然后单击“下一步”。 7. 确保选中了“本地计算机：(运行本控制台的计算机)”，然后单击“完成”。 8. 单击“关闭”，然后单击“确定”。 9. 在左窗格的树视图中，展开“证书(本地计算机)”，展开“个人”，然后选择“证书”。 10. 验证是否确实有一个证书具有您在前一个过程中指定的完全限定域名。 可以双击证书查看它的详细信息。

返回页首

在客户端安装 CA 颁发的证书

安装证书并重新启动 SQL Server 服务后，SQL Server 就可以与客户端协商 SSL。使用 SSL 连接到 SQL Server 的客户端必须：

•	已安装 MDAC 2.6 或 SQL Server 2000 连接库。
•	信任 SQL Server 的证书颁发者。

•	在客户端计算机上安装 CA 颁发的证书 1. 以管理员身份登录到客户端计算机。 2. 启动 Internet Explorer 并浏览到 Microsoft 证书服务，例如： http://MyCA/certsrv 3. 单击“检索 CA 证书或证书吊销列表”，然后单击“下一步”。 4. 单击“安装此 CA 证书路径”，然后在确认对话框中单击“是”以安装根证书。

返回页首

强制所有客户端使用 SSL

可以将服务器配置为强制所有客户端使用 SSL（如此过程所述），或者可以让客户端选择是否按连接使用 SSL（如下一过程所述）。配置服务器强制客户端使用 SSL 的优点是：

•	保证了所有通信的安全。
•	拒绝任何不安全的连接。

缺点是：

•	所有客户端必须安装了 MDAC 2.6 或 SQL Server 2000 连接库；早期版本或通用库将无法连接。
•	不需要保护的连接由于额外的加密，性能开销会有所增加。

•	强制所有客户端使用 SSL 1. 在运行 SQL Server 的计算机上，单击“Microsoft SQL Server”程序组中的“服务器网络实用工具”。 2. 单击选择“强制协议加密”。 3. 验证是否启用了 TCP/IP 和/或命名管道。 其他协议不支持 SSL。 4. 单击“确定”关闭 SQL Server 网络实用工具，然后在“SQL Server 网络实用工具”消息框中单击“确定”。 5. 重新启动 SQL Server 服务。 所有后续客户端连接都会被要求使用 SSL，无论它们是否指定安全连接。

返回页首

允许客户端决定是否使用 SSL

此过程说明如何配置 SSL 以允许客户端选择是否使用 SSL。可以将客户端库配置为对于所有连接强制使用 SSL，或者可以让各应用程序在每个连接的基础上进行选择。配置客户端的优点在于：

•	只有确实需要 SSL 的连接才会产生 SSL 系统开销。
•	不支持在 SQL Server 中使用 SSL 的客户端仍然可以连接。

如果采用此方法，应确保您允许存在不安全的连接。

•	重新配置服务器 1. 在运行 SQL Server 的计算机上，运行“服务器网络实用工具”。 2. 清除“强制协议加密”复选框。 3. 重新启动 SQL Server 服务。 4. 返回到客户端计算机。

•	对所有客户端连接使用 SSL

使用这一方法，您可以将客户端库配置为对所有连接都使用 SSL。这意味着将不能访问不支持加密的 SQL Server 和 SQL Server 2000 之前的 SQL Server 版本。

1.	在“Microsoft SQL Server”程序组中，单击“客户端网络实用工具”。
2.	确保启用了 TCP/IP 和/或命名管道。
3.	选择“强制协议加密”。

•	允许应用程序选择是否使用加密

在此方法中，应用程序使用连接字符串来决定是否使用加密。这允许每个应用程序仅在需要时才使用加密。

1.	如果使用 OLE-DB 数据提供程序连接到 SQL Server，请将“对数据使用加密”设置为“true”，如下面的 OLE-DB 连接字符串示例所示。 "Provider=SQLOLEDB.1;Integrated Security=SSPI;Persist Security Info=False;Initial Catalog=Northwind;Data Source=sql01;Use Encryption for Data=True"
2.	如果使用 SQL Server .NET 数据提供程序连接到 SQL Server，请将“加密”设置为“true”，如下例所示。 "Server=sql01;Integrated Security=SSPI;Persist Security Info=False;Database=Northwind;Encrypt=True"

返回页首

验证通信是否已加密

在此过程中，将使用网络监视器来验证在应用程序服务器与数据库服务器之间传送的数据是否已加密。首先以明文形式发送数据，然后通过先配置服务器，再配置客户端来启用加密。

•

验证通信是否已加密 1. 在客户端计算机上，使用 Visual Studio.NET 创建一个名为 SQLSecureClient 的新 C# 控制台应用程序。 2. 将下面的代码复制到 class1.cs，替换所有现有的代码。 注意：用数据库服务器的名称替换连接字符串中的服务器名。 using System; using System.Data; using System.Data.SqlClient; namespace SQLSecureClient { class Class1 { [STAThread] static void Main(string[] args) { // 使用您的数据库服务器的名称替换 以下连接 // 字符串中的服务器名称 SqlConnection conn = new SqlConnection( "server='sql01';database=NorthWind;Integrated Security='SSPI'"); SqlCommand cmd = new SqlCommand("SELECT * FROM Products"); try { conn.Open(); cmd.Connection = conn; SqlDataReader reader = cmd.ExecuteReader(); while (reader.Read()) { Console.WriteLine("{0} {1}", reader.GetInt32(0).ToString(), reader.GetString(1) ); } reader.Close(); } catch( Exception ex) { } finally { conn.Close(); } } } } 3. 在“生成”菜单上，单击“生成解决方案”。 4. 为了使两台计算机之间的 Windows 身份验证取得成功，必须在数据库服务器计算机上复制当前以交互方式登录到客户端计算机所用的帐户。确保用户名和密码都匹配。另一种方法是使用两台计算机都可识别的域帐户。 还必须使用 SQL Server 企业级管理器为新创建的帐户创建一个数据库登录，并在 Northwind 数据库中为此登录添加一个新的数据库用户。 5. 在数据库服务器计算机上，使用 SQL Server 网络实用工具禁用加密（确保未选择“强制协议加密”选项）。 6. 在数据库服务器计算机上，单击“管理工具”程序组中的“网络监视器”。 注意：Windows 2000 Server 提供网络监视器的限制版。Microsoft SMS 提供网络监视器的完全版。 如果您没有安装网络监视器，请转到控制面板中的“添加或删除程序”，单击“添加/删除 Windows 组件”，从“Windows 组件”列表中选择“管理和监视工具”，单击“详细信息”，然后单击“网络监视工具”。单击“确定”，然后单击“下一步”安装网络监视器的限制版。可能会提示您插入 Windows 2000 Server CD。 7. 在“捕获”菜单上，单击“筛选”创建新的筛选器，配置它以查看在应用程序服务器与数据库服务器之间发送的 TCP/IP 网络通信。 8. 单击“开始捕获”按纽。 9. 返回到客户端计算机，然后运行测试控制台应用程序。Northwind 数据库的产品列表应显示在控制台窗口中。 10. 返回到数据库服务器，然后单击网络监视器中的“停止并查看捕获”按钮。 11. 双击第一个捕获的帧以查看捕获的数据。 12. 向下滚动以查看捕获的帧。您应该能看到明文形式的 SELECT 语句，后面带有从该数据库检索到的产品列表。 13. 现在，使用 SQL Server 网络实用工具配置服务器，强制所有连接使用加密： 1. 使用 SQL Server 网络实用工具选择“强制协议加密”。 2. 停止并重新启动 SQL Server 服务。 14. 返回网络监视器并单击“开始捕获”按钮。在“保存文件”对话框中，单击“否”。 15. 返回到客户端计算机，然后再次运行测试控制台应用程序。 16. 返回到数据库服务器计算机，然后单击网络监视器中的“停止并查看捕获”。 17. 确认数据现在已变得难以看懂（因为已加密）。 18. 重新配置服务器，取消强制加密： 1. 使用 SQL Server 网络实用工具并清除“强制协议加密”复选框。 2. 停止并重新启动 SQL Server 服务。 19. 在网络监视器中开始新的捕获并重新运行客户端应用程序。确认数据再次成为明文。 20. 返回到客户端计算机，从“Microsoft SQL Server”程序组中选择“客户端网络实用工具”。 21. 选择“强制协议加密”，然后单击“确定”关闭客户端网络实用工具。 22. 返回网络监视器并单击“开始捕获”按钮。在“保存文件”对话框中，单击“否”。 23. 返回到客户端计算机，然后再次运行测试控制台应用程序。 24. 返回到数据库服务器计算机，然后单击网络监视器中的“停止并查看捕获”。 25. 确认数据现在已经难以看懂（因为已加密）。 请注意，在所有情况下，SQL Server 在通信序列开始时都将其服务器身份验证证书以明文形式发送到客户端。这是 SSL 协议的一部分。还要注意，即使服务器和客户端都不需要加密，这也会发生。

返回页首

其他资源

有关如何在 Windows 2000 中安装网络监视器的信息，请访问：

•	Microsoft 知识库文章 243270：“HOW TO: Install Network Monitor in Windows 2000”（HOW TO：在 Windows 2000 中安装网络监视器）。网址为：http://support.microsoft.com/default.aspx?scid=243270。
•	Microsoft 知识库文章 276553，“HOW TO: Enable SSL Encryption for SQL Server 2000 with Certificate Server”（为具有证书服务器的 SQL Server 2000 启用 SSL 加密），网址为：http://support.microsoft.com/default.aspx?scid=276553。

有关网络监视器的更多信息，请参见 MSDN 上的 Microsoft Platform SDK 的“网络监视器”部分：http://msdn.microsoft.com/library/default.asp?url=/library/en-us/netmon/netmon/network_monitor.asp。

返回页首