数据存储加密技术白皮书

1数据存储加密技术白皮书2 技术九：TFE透明文件加密技术 34 123《信息安全技术信息系统密码应用基本要求》和中国密码学会密评联委会（以下简称密评4其运营者应当自行或者委托商用密码检测机构每年至少开展一次商用密码应用安全性评估图1《商用密码应用安全性评估FAQ》（第四版）应用和数据安全层面的存储机密性问题图解5况对应物理层加密存储，第（2）种情况在数据库透明加解密的基础上以是否配套细粒度访问控制为判定条件；第（3）种情况以应用是否对数据资源本身加密、密文是否写入数据库需要把握的是，第（3）种情况明确以应用明文是否收敛于应用的授权上下文：凡加解密6炼石免改造数据安全：将密码等安全能力投基于此，本白皮书以“数据”为中心，沿典型B/S三层信息系统架7图2数据存储加密技术总览图89逻辑的密码SDK进行集成，并调用其加解密接口，使目标应用系统具备数（集成密码SDK）技术，主要场景包括：需要加密处理的敏感数据代码逻辑在业务系统中分安全模块（HSM）托管及多密钥封装等机制，可改善大规模应用中的密钥隔离和但应用代码改造、密码接口合规使用及长期运行时拦截数据访问调用（如JDBC层SQL执行完成加密后写入数据库。对于文件应用内加密（AOE面向切面加密）主要适用于企业在应用层想要实现免开发改造的、可为符合。相较于数据整体加密实现的透明加解密（其判定取决于是否AOE正从单应用切面走向统一控制面。保护对象由数据库字段扩展至文件与对象存储，至向量数据库、向量检索等AI数据基础设施，并通过自研拦截器组件拓展复杂异构环境的适来源应用、访问时段和SQL特征建立独立的授权与解密策略；密钥由网关侧或外部密钥管可同步实现敏感数据访问审计、动态脱敏和高风险SQL拦截，形成一次接入（3）存在库内访问盲区。存储过程、触发器、数据库作业等在数据库内部产颈、高可用负担以及对各类数据库协议和版本的图内调用敏感列解密函数完成数据解密。其新一代形态为FGDE细粒度动态加密在运行时依访问主体作出，未授权主体经正常SQL路径仅能取得密文，是据整体加密实现透明加解密并采用细粒度访问控制”的第（2等主流数据库以及国产数据库提供了TDE或类似的静态数据加密能力，但支持范围、授UDF加密的演进集中在两个方向。一是部分数据库但需要随数据库类型逐一定制、通用性低的技术九：TFE透明文件加密技术透明文件加密正在分化为两条路线。一条是操作系统与文件系统原生化，以Linux定、密钥托管与设备更换等事项；恢复密钥丢失、TPM状态变化或解锁安全需求确定其能否有效应对面临的数据安全威胁。由于磁盘解锁后上层系统即透明获得明序号加密技术部署位置加密粒度明文暴露边界密钥掌握方性能数据库复杂计算实施成本条对应情形1DLP终端加密终端文件授权进程内存终端管理平台中//中/（2）2CASB代理网关用户/终端-云服务之间字段/文件网关及用户侧网关侧中条件支持影响高视实现3应用内加密（集成密码应用服务器字段/文件应用进权上下文）应用侧/KMS高支持影响高4应用内加密面加密）应用服务器字段/文件应用进权上下文）应用侧高支持影响低5数据库加密网关应用服务器-数据库之间字段网关及上层应用网关侧或外中条件支持影响中/（2）6数据库外挂加密（FGDE细粒度动态加密）数据库件）字段数据库进程及授权主体侧外部密钥管理系统中条件支持不影响低7TDE透明数据加密数据库表空间/分产品支持列级）数据库内存及上层应用数据库或外高不支持不影响低/（2）8UDF用户自定义函数加密数据库字段数据库内存及上层应用机或外部中不支持影响高未专定9TFE透明文件加密文件系统文件授权进程及上层应用安全服务或系统密钥环中不支持不影响低/（2）10FDE全磁盘加密存储层磁盘/卷解锁后全系统可见设备/操作系统密钥体系（恢复密钥高不支持不影响低注：“/”表示不涉及；CASB行“防DBA”指云服务商侧数据库/运维人员，与其他行所指的企业自身DBA不同。安全需求确定其能否有效应对面临的数据安全威胁；第（2）种情况指数据整体加提示；第（3）种情况指应用对数据资源本身进行加密并将密文写入数据库表、文用内加密（集成密码SDK