我们最近在 SQL Server 2008 中为我们开发人员笔记本电脑上的本地数据库实施了透明数据加密，以在笔记本电脑被盗或丢失的情况下保护它们。这工作正常。
现在我们正试图找出一种让证书每天过期的方法，强制一个自动化进程（可能是登录时的脚本）进入网络路径并获取一个过期一天后的新证书。这将确保如果发生意外情况，第二天数据将无法使用。
我还研究了使用 Cryptographic 提供程序，但那里似乎没有任何“提供程序”。也许我错了。
我愿意接受建议。如果有更好的方法请告诉我。谢谢！
rmontgomery429
问问题
973 次
5 回答
3
简短的回答：没有
长答案：一旦消息（一段数据）被加密，相同的密钥将解密相同的加密消息，无论何时应用解密算法。如果每天更换密钥，则必须用旧密钥解密数据并用新密钥重新加密。如果这个过程没有发生（即有人停止了执行重新加密的代码段的运行），旧密钥仍然可以工作。即使您确实创建了一个加密提供程序来检查日期，其他人也可以创建一个新的提供程序来执行解密，而无需先检查日期。
于 2008-10-14T01:17:03.817 回答
1
T 解决问题而不是动机。如果您使用派生模板设置 Microsoft CA（设置为过期一天）并且还允许在该证书模板上自动注册。然后，您可以将您的 SQL 机器设置为目录中使用自动注册的 OU 的一部分（Technet 将为您提供这方面的资源，需要使用 goup 策略）。这样，当证书过期时，机器会自动请求一个新的。
标记
于 2008-10-17T12:59:14.583 回答
1
Not true! There are options available for SQL Server 2008 encryption. Check out the database encryption solutions here at TownsendSecurity.com. Townsend's Alliance AES Encryption is a NIST-certified solution that would put you into compliance with the regulations around health care, credit cards, and banking. Also see the white paper on Alliance AES Encryption.
Businesses with sensitive data in database applications want to encrypt the data in order to secure it from loss. Protecting sensitive data increases customer trust and loyalty, reduces legal liability, and helps meet regulatory requirements for data security. Examples of databases that might contain sensitive information are Oracle Database, IBM DB2, Microsoft SQL Server, MySQL, and Microsoft Access. Regardless of the disk or folder encryption technology that might be used, the actual data should be encrypted to prevent loss
Full disclosure: I'm an intern at Townsend Security.
于 2011-03-31T16:11:16.947 回答
0
如果没有其他详细信息，我无法理解您的 TDE 设置将如何保护数据以防数据丢失或被盗。
如果您没有使用全盘加密（通过 Bitlocker、Truecrypt 等），那么我作为物理拥有您硬件的攻击者可以轻松重置本地管理员密码、启动笔记本电脑并使用本地管理员凭据访问 SQL Server 实例. 那时我是数据库服务器上的系统管理员，能够提取我想要的任何数据或关闭 TDE。
此外，由于所有加密密钥和证书都存储在本地，因此物理拥有设备的攻击者相对容易获得对它们的访问权限。只有当您将数据库加密密钥保护器（存储在主数据库中）与加密数据库物理分离时，TDE 才对数据保护有意义。
如果您使用全盘加密，那么使用 TDE 不会对攻击者提供任何额外的威慑，只会对开发人员笔记本电脑的系统性能产生不利影响。
于 2008-10-15T19:11:50.123 回答
0
你是对的——你想要的是一个加密提供者，你是对的，那里还没有。
如果您要参加 11 月的 PASS 峰会，请与 Microsoft 的 JC Cannon 交谈。他正在做一个关于合规性的会议，他是 SQL Server 合规性小组的负责人。他与目前致力于构建加密提供程序的供应商有联系，他也许可以与您讨论供应商名称。目前他们还没有公开宣布谁在做这件事。
于 2008-10-19T01:03:41.857 回答