GaussDB(for MySQL)新特性TDE发布：支持透明数据加密

风晓 2024-01-12 13:08:59  55530 赞同 0 反对 0

分类：资源标签：国产数据库

技术背景为了保护数据的安全，我们可能通过防火墙、身份认证、安全权限控制、网络及端口访问控制、传输加密等多种方式对程序运行过程中的各个环节进行安全防控，但这些并不能保证数据静态存储在物理介质中的安全；恶意方如果窃取了硬盘等物理介质，就可能还原并获取其中存储的数据。

透明数据加密（Transparent Data Encryption，简称TDE），作为一种在数据“静止”时保护数据的机制，对数据文件执行实时I/O加密和解密；数据在写入磁盘之前进行加密，从磁盘读入内存时进行解密，这样数据在数据库共享内存中以明文形态存在，而在数据存储介质中则以密文形态存在，能有效保护数据静态存储的安全。

特性价值

GaussDB(for MySQL)新特性TDE核心价值在于数据的静态安全保护，同时有助于解决用户安全相关的法规遵从性挑战：

（1）数据保护：支持AES256、SM4两种加密算法，对数据进行加密，保护数据安全，有助于解决用户满足法规遵从性的需求。

（2）透明访问：数据库的用户不感知它们正在访问的信息是在底层存储时加密的，经过数据库身份验证的用户可以透明地访问数据，上层应用无需做任何更改。

实现原理

1. 用户在创建或备份恢复数据库新实例时，如果打开了TDE开关，数据库服务会向KMS（密钥管理服务）申请生成数据密钥DEK（Data Encryption Key）。

2. GaussDB(for MySQL)使用DEK在数据在写入存储单元前进行加密，从存储单元读入内存时进行解密，加密算法支持AES256和SM4。

3. DEK在GaussDB(for MySQL)的内存中存储，重启场景下重新向KMS进行DEK解密后，再缓存到内存中，继续用于加解密读写工作。

4. 对于业务应用，其访问数据库，不感知底层加解密动作；上层业务无需做任何适配动作即可对接TDE加密实例。

业务场景/流程

新实例开启TDE加密

购买GaussDB(for MySQL)数据库时，选择加密算法并打开TDE开关，可以创建支持TDE的GaussDB(for MySQL)实例；数据库实例一旦开启TDE后，不支持关闭开关。

存量数据备份恢复到新加密实例

TDE开关只能在新创建数据库实例时打开，对于存量数据，如果也想加密数据，可以通过备份恢复为新加密实例的方式来支持；备份恢复功能支持的场景，如下图所示：支持从未加密到加密、加密到加密路径，将备份数据恢复到新的TDE加密实例。

总结

GaussDB(for MySQL)实现了透明数据加密（Transparent Data Encryption，简称TDE）特性，支持AES256和SM4两种加密算法；客户可在新建实例时开启TDE，或通过存量实例备份恢复到加密实例的方式，对存量数据进行加密改造；在上层业务不做任何更改的情况下，达成数据静态安全保护的目的。

如果您发现该资源为电子书等存在侵权的资源或对该资源描述不正确等，可点击“私信”按钮向作者进行反馈；如作者无回复可进行平台仲裁，我们会在第一时间进行处理！

评价 0 条

相关资源

mysqldump 备份产生大量慢查询，有办法过滤么？ 2024-04-08 51677 浏览
MySQL8.0.30版本中，mysqldump逻辑备份工具引入了mysqld-long-query-time[1]选项，用于设置mysqldump备份的会话级别慢查询阈值long_query_time。生产环境long_query_time一般设置的比较小，由于mysqldump备份时执行的是全表扫描，SQL执行时间很容易超过long_query_time，导致慢查询日志中记录大量备份产生的慢查询。通过指定mysqld-long-query-time选项，给mysqldump单独设定合适的会话级别慢查询阈值，可以减少慢查询日志中大量无效慢查询。
mysql 从一个表查询的结果更新到另一个表 2023-12-15 54565 浏览
mysql 从一个表查询的结果更新到另一个表
C#winform中使用SQLite数据库 2023-12-29 52576 浏览
本文主要讲了C#winform中使用SQLite数据库
MYSQL 5.7数据库同步结构#1067报错 invalid default value for解决方法 2023-12-27 52643 浏览
MYSQL 5.7数据库同步结构#1067报错 invalid default value for解决方法
可视化学习：CSS transform与仿射变换 2023-12-29 56715 浏览
在几年前，我就在一些博客中看到关于CSS中transform的分析，讲到它与线性代数中矩阵的关系，但当时由于使用transform比较少，再加上我毕竟是个数学学渣，对数学有点畏难心理，就有点看不下去，所以只是随便扫了两眼，就没有再继续了解了。现在在学习可视化，又遇到了这个点，又说到这是可视化的基础知识，既然这样，那看来还是逃不过去，那就再多了解一点吧。
运维：mysql常用的服务器状态命令 2023-12-21 54644 浏览
今天给大家分享mysql常用的服务器状态命令，希望对大家日常运维mysql数据库或者调优提供一些帮助！
编译的应用无法连接到mysql 2023-12-26 51679 浏览
编译的应用无法连接到mysql
在winform blazor hybrid中绘图 2023-12-29 53808 浏览
前几天跟大家介绍了在winform中使用blazor hybrid，而且还说配上blazor的ui可以让我们的winform程序设计的更加好看，接下来我想以一个在winform blazor hybrid中绘图的例子来进行说明，希望对你有所帮助。
爬虫 (十八) 如何通过反编译理解 for 循环 (十) 2023-12-28 52161 浏览
前面的基本运算符加减乘除等运算符内容，我们就不讲了，我觉得最应该讲讲就是 for 循环运算符这东西，真的是需要我们去好好探讨一下的，记得关注点赞哦，谢谢在本篇博客中，我们将讨论 Python 中 for 循环的原理，我们将从一组基本例子和它的语法开始，还将讨论与 for 循环关联的 else 代码块的用处，然后我们将介绍迭代对象、迭代器和迭代器协议，还会学习如何创建自己的迭代对象和迭代器之后，我们将讨论如何使用迭代对象和迭代器实现 for 循环，以及利用 while 循环通过迭代器协议实现 for 循环逻辑最后，我们将反编译一个简单的 for 循环，并逐步介绍 Python 解释器在执行 for 循环时执行的指令，以满足大家的好奇心。这些有助于理解 for 循环运行时的内部工作原理
安装libpcre包，mysql 本地地址为登录参数时，无法登录的问题 2023-12-25 56905 浏览
安装libpcre包，mysql 本地地址为登录参数时，无法登录的问题