摘要

本发明提供一种基于数据库的细粒度数据加密方法及装置。包括：数据加密组件和数据加密管理组件，数据加密组件以插件的形式安装在每个需要访问数据库的应用中，时刻监视应用的进程和拦截应用对数据库的操作，用于还原应用进程上下文中的实体信息、基于数据库表中的列或行为粒度对数据加解密、以及根据实体权限对敏感数据解密或脱敏；数据加密管理组件通过网络连接数据加密组件，用于管理数据库中敏感数据的实体访问权限、加解密策略和加解密密钥。在应用系统的数据访问层以数据库表中的行或列为粒度对敏感数据加解密，将原本以明文提交到数据库驱动层的敏感数据替换为密文，确保了数据的传输安全和存储安全。

背景技术

企业信息系统中流转着大量高价值数据，这些数据一般存储在数据库中，是企业的核心资产，同时也是攻击者觊觎的目标。数据一旦泄露，会给企业带来不可估量的损失。为了维护企业利益，必须重视保护企业的数据安全，而数据库是安全防护的重点。对企业数据库中关键、敏感的数据进行加密，是安全防护中最经济有效的手段。

企业信息化是一个持续过程，会用到不同品牌或不同版本数据库产品，而不同品牌或版本数据库所使用的协议并不统一，有些甚至不公开，这就为数据库加密增加了实施难度。企业需要一个通用数据库加密产品，对企业重要数据进行统一安全防护。

但是，当前业界使用的数据库加密方法，受制于数据库品牌或者版本的不同，需要分别提供产品或者方案，实施成本高，并且效果有限，尤其是在企业拥有大量应用系统的情况下，更是难于实施数据库加密方案。因此，需要一种通用的数据库加密解决方案，能够完全解耦数据库的品牌或者版本，为企业降低实施成本的同时，能够有效的保护企业数据安全。

根据数据状态的不同，可将数据威胁防护的需求划分为三个层级：数据存储过程中的安全即确保存储安全、数据传输过程中的安全即确保传输安全、数据在使用过程中的安全即确保使用安全。虽然目前针对在这三种不同的需求层面，每一层都存在多种多样的数据防护技术和手段，但是问题在于大多数技术往往仅能从一方面满足数据安全防护需求。当数据在状态间切换时，也往往意味着数据安全防护的失效。

如专利CN 101639882 A/101639882 B《基于存储加密的数据安全保密系统》中所述，其核心特征为通过改造数据库管理系统，以及使用数据库加密服务器加密数据，将数据加密并以密文形式存储在数据库内。虽然该发明可以确保前文所述的存储安全，但当数据离开该系统的数据加密服务器时，即由密文转为明文进行传输，即该发明仅能防护数据的存储安全，当网络间存在中间人窃听时，此防护手段即失效。本发明，即基于数据库的细粒度数据加密方法、系统及装置与其区别在于，敏感数据仅在应用层加解密，即仅在使用态解密，无论数据从应用层离开传输至数据库，还是数据库将数据存储，敏感数据都以密文形式流转，确保了数据的传输安全和存储安全。

再如专利CN101540704 A《不可信DBMS恶意如新检测系统及方法》中所述，其核心特征为在DBMS和应用之间引入恶意入侵检测系统，入侵检测系统的客户端和服务端通过安全连接传输数据，通过分析SQL语句、使用加密技术加密数据、以及通过建立可信DBMS和不可信DBMS的镜像检测数据库操作是否存在恶意行为，确保数据加密存储并且只有合法的数据库操作最终被执行。该发明确保了数据的传输安全和存储安全，但存在数据使用授权粒度过粗的问题。入侵检测系统仅验证客户端的身份，而不检测操作数据库的实体信息，当目标应用系统存在漏洞或客户端被攻击者攻破时，仍然可以获得以明文形式使用的敏感数据。本发明，即基于数据库的细粒度数据加密方法、系统及装置与其区别在于基于目标应用中的访问实体建立细粒度的访问控制策略，通过监视目标应用进程中的上下文还原实体信息，或对接目标应用的认证系统识别实体身份，仅对拥有权限的用户解密数据，即避免了系统在被攻破的情况下敏感数据发生泄露，也避免了由于内部人员的误操作或恶意行为造成的数据失窃。

再如专利CN1017888992A《一种数据库查询讯语句的转换方法和转换系统》中所述，其核心特征为建立中、英文之间的对应关系，将用户基于中文的数据库操作语句转译成基于英文的数据库操作语句，校验后提交数据库执行。本发明，即基于数据库的细粒度数据加密方法、系统及装置无需建立数据库操作语句的中、英文映射关系，无需变更或改造已有应用或数据库的部署模式、运行方式，即可将细粒度数据加密系统与已有系统集成。