tencent cloud

文档反馈

透明数据加密概述

最后更新时间:2024-01-22 16:22:57

    概述

    透明数据加密(Transparent Data Encryption,以下简称 TDE),提供文件级别的加密,可以做到对数据库上层的应用透明,用户不需要修改业务代码,存储在硬盘上的数据是加密的,对磁盘数据读取和写入时透明地进行加解密。
    透明数据加密常用于解决一些安全合规问题,如 PCI DSS、等级安全保护等要求静态数据需要被保护的场景。

    加密是什么

    在密码学中,加密(Encryption)是将明文信息改变为难以读取的密文内容,使之不可读的过程。
    现代密码学是基于数论和概率论的一门学科,加密的终极目标是香农定义的 Perfect security(也称 Information-theoretic security):
    Let E = (E, D) be a Shannon cipher defined over (K,M, C). Consider a probabilistic experiment in which the random variable k is uniformly distributed over K. If for all m0, m1 ∈ M, and all c ∈ C, we have
    Pr[E(k, m0) = c] = Pr[E(k, m1) = c],
    then we say that E is a perfectly secure Shannon cipher.
    简单来说,对于密文 c,是可由任何一个明文 m 加密而来的,从密文中找不到它和明文之间的关联性。

    加密算法的分类

    加密算法可以分为两类:对称加密和非对称加密。
    对称加密:加密和解密使用同样的密钥,对称加密的速度比非对称加密快很多,在很多场合都需要对称加密。
    非对称加密:又称公开密钥加密,是加密和解密使用不同密钥的算法,主要用户信息传输。
    对称加密算法常见的有 AES,3DES 等。非对称加密算法最广为使用的是 RSA 算法,其可靠性源自于对极大整数做因数分解的难度。

    TDE 威胁模型(Threat model)

    TDE 主要用于保护静态数据 data at rest,防止磁盘被盗窃导致数据泄漏。

    云数据库 PostgreSQL 加密实现方案

    腾讯云数据库 PostgreSQL 通过向用户申请使用 KMS(Key Management Service)服务中保存的主密钥,生成 DEK(Data Encryption Key)密文与 DEK 明文对云产品加密所使用的密钥进行数据加密和解密。
    
    此类加密方案被称为信封加密,即用另一个密钥对密钥进行加密的过程。信封加密是一种应对海量数据的高性能加解密方案。其可通过生成 DEK 来对本地数据进行加解密,保证了业务加密性能的要求,同时也由 KMS 确保了数据密钥的随机性和安全性。
    所有的加密解密操作均由数据库在内存中进行,每一次数据库重启以及存在关闭内存的操作时,均会重新从 KMS 获取密钥材料。本地存储中不保存任何可用于解密的密钥材料。
    
    
    联系我们

    联系我们,为您的业务提供专属服务。

    技术支持

    如果你想寻求进一步的帮助,通过工单与我们进行联络。我们提供7x24的工单服务。

    7x24 电话支持