ORACLE TDE 透明数据加密技术

从ORALE 10GR2开始出现透明数据加密技术(Transparent Data Encryption，TDE)

        TDE用来对数据加密，通常 SQL 执行的应用程序逻辑不需要进行更改，仍能正常运行。 换言之，应用程序可以使用同一语法将数据插入到应用程序表中，并且 Oracle 数据库在将信息写入磁盘之前将自动对数据进行加密。 随后的选择操作将透明地解密数据，因此应用程序将继续正常地运行。 这一点很重要，因为当前的应用程序通常期望未加密的应用程序数据。 显示加密数据至少会使应用程序用户迷惑不解，甚至还会破坏现有的应用程序。

      

设置加密密钥：

 

　　Oracle 透明数据加密提供了实施加密所必需的关键管理基础架构。加密的工作原理是将明文数据以及秘密(称作密钥)传递到加密程序中。加密程序使用提供的密钥对明文数据进行加密，然后返回加密数据。以往，创建和维护密钥的任务由应用程序完成。 Oracle 透明数据加密通过为整个数据库自动生成一个万能密钥解决了此问题。在启动 Oracle 数据库时，管理员必须使用不同于系统口令或 DBA 口令的口令打开一个 Oracle Wallet 对象。然后，管理员对数据库万能密钥进行初始化。万能密钥是自动生成的。

 

准备用于加密的数据库

在$ORACLE_HOME/network/admin中的sqlnet.ora中增加一个ENCRYPTED_WALLET_LOCATION条目。

ENCRYPTION_WALLET_LOCATION=(SOURCE=(METHOD=FILE)(METHOD_DATA=(DIRECTORY=/u01/oracle/product/11.2.0.1.0/wallet/)))

进入数据库执行以下语句

 alter system set key identified by "welcome"

如果提示以下错误，表示wallet没有被自动创建出来，可能是因为wallet目录需要手工创建的原因

ORA-28368: cannot auto-create wallet

 

手工创建wallet目录，并授予oracle用户访问权限。

alter system set key identified by "welcome";
SQL> conn hr/hr
SQL> create table test (id number,credit_card_number varchar2(16) ENCRYPT NO SALT);
SQL> insert into test values(1,'12312432');
1 row created.
SQL> insert into test values(2,'33245235');
SQL> commit;
Commit complete.
SQL> select * from test;

这个时候是可以看到被加密的数据的，当重启后再次查询加密数据就无法看到了。这个时候需要打开wallet才可以查看加密数据

alter system set wallet open identified by "welcome1";

 sys用户的表不能被加密