SQL Server 2008中的代码安全（六）：对称密钥加密

qns_fengyusong

　　SQL Server 2008中SQL应用系列--目录索引
　　证书和非对称密钥使用数据库级的内部公钥加密数据，并且使用数据库级内部私钥解密数据。而对称密钥相对简单，它们包含一个同时用来加密和解密的密钥。困此，使用对称密钥加密数据更快，并且用在大数据时更加合适。尽管复杂度是考虑使用它的因素，但它仍然是一个很好的加密数据的选择。
　　我们看一组例子：
　　示例一、创建对称密钥
　　对称密钥的特性是：在数据库会话中使用它对数据进行加密和解密前必须首先打开。
　　创建对称密钥使用如下命令:CREATE SYMMETRIC KEY  创建对称密钥。（http://msdn.microsoft.com/en-us/library/ms188357.aspx）


use DB_Encrypt_Demo
go
-- 创建一个用于加密对称密钥的非对称密钥
CREATE ASYMMETRIC KEY symDemoKey --名称
WITH ALGORITHM = RSA_512     --加密算法
ENCRYPTION BY PASSWORD ='TestSYM456!'--密码

-- 创建一个对称密钥
CREATE SYMMETRIC KEY sym_Demo
WITH ALGORITHM = TRIPLE_DES
ENCRYPTION BY ASYMMETRIC KEY symDemoKey　　示例二、查看当前数据库中的对称密钥
　　使用目录视图sys.symmetric_keys(http://msdn.microsoft.com/en-us/library/ms189446.aspx)来查看。


--查看当前数据库中的非对称密钥
use DB_Encrypt_Demo
go
SELECT name, algorithm_desc FROM sys.symmetric_keys
----结果返回
/*
name    algorithm_desc
sym_Demo    TRIPLE_DES
*/　　示例三、修改非对称密钥的加密方式
　　你可以使用ALTER SYMMETRIC KEY（http://technet.microsoft.com/en-us/library/ms189440.aspx）命令修改对称密钥的加密方式。但执行前必须使用OPEN SYMMETRIC KEY(http://msdn.microsoft.com/en-us/library/ms190499.aspx)命令打开它。


use DB_Encrypt_Demo
go
--先用私钥密码打开对称密钥
OPEN SYMMETRIC KEY sym_Demo
DECRYPTION BY ASYMMETRIC KEY symDemoKey
WITH PASSWORD ='TestSYM456!'
--打开之后，先增加密码加密，取代原密钥
ALTER SYMMETRIC KEY sym_Demo
ADD ENCRYPTION BY PASSWORD ='newnew!456'
--再删除非对称密钥加密
ALTER SYMMETRIC KEY sym_Demo
DROP ENCRYPTION BY ASYMMETRIC KEY symDemoKey
--完成操作后，关闭对称密钥
CLOSE SYMMETRIC KEY sym_Demo　　
　　示例四、使用对称密钥对数据进行加密和解密。
　　1、为了使用对称密钥对数据进行加密，必须首先打开它，然后使用函数EncryptByKey 加密数据。(http://msdn.microsoft.com/zh-cn/library/ms174361.aspx)
　　2、使用DecryptByKey来解密使用对称密钥加密的数据。注意DecryptByKey不像甩EncryptByKey，无须使用对称密钥GUID。因此，为了解密，必须打开正确的对称密钥会话，否则会显示null。
　　下面是一个例子：


/****************************3w@live.cn***********************/
USE DB_Encrypt_Demo
GO
--创建测试数据表，用于对称加密
CREATETABLE dbo.PWDQuestion
(CustomerID intNOTNULLPRIMARYKEY,
PasswordHintQuestion nvarchar(300) NOTNULL,
PasswordHintAnswer varbinary(200) NOTNULL)
GO
--插入加密数据
OPEN SYMMETRIC KEY sym_Demo
DECRYPTION BY PASSWORD ='newnew!456'
INSERT dbo.PWDQuestion
(CustomerID, PasswordHintQuestion, PasswordHintAnswer)
VALUES
(12, '您出生的医院名称？',
EncryptByKey(Key_GUID('sym_Demo '), '杭州市一'))
CLOSE SYMMETRIC KEY sym_Demo　　查看未加密的数据：


--解密数据
OPEN SYMMETRIC KEY sym_Demo
DECRYPTION BY PASSWORD ='newnew!456'
SELECT CustomerID,PasswordHintQuestion,
CAST(DecryptByKey(PasswordHintAnswer) asvarchar(200)) PasswordHintAnswer
FROM dbo.PWDQuestion
WHERE CustomerID =12
--打开后切记关闭！！！3w@live.cn
CLOSE SYMMETRIC KEY sym_Demo http://l3gpwg.bay.livefilestore.com/y1p54QKdS3HlyZwfw22CClNHu8nHzewwb_FawUOpR_PIvNcdd0nSe-Qzmm2qsoAL6_clkQLHeAivtAv8ErFjMfTKbiIFoV5fVd7/2011-3-13%2019-58-21.png?psid=1


--不打开直接读取
SELECT CustomerID,PasswordHintQuestion,
CAST(DecryptByKey(PasswordHintAnswer) asvarchar(200)) PasswordHintAnswer
FROM dbo.PWDQuestion
WHERE CustomerID =12http://public.bay.livefilestore.com/y1pSrYSm440jpNxt5vg-Q64nRuygnrF9Nu69LX1QA3q0gkpcE4gkLXaVzeGekY386U-4INQBumbjmN9w1CSjmZI0g/2011-3-13%2020-01-30.png?psid=1
　　至此，好像已经大功告成了，别，千万别高兴得太早！
　　这里有个问题，如果恶意用户不知道CustomerID＝13的PasswordHintAnswer列的真实值，但知道CustomerID＝14的PasswordHintAnswer列的真实值,则完全可以通过恶意替换PasswordHintAnswer列而绕过加密！！3w@live.cn此时，我们索性连CustomerID列作为验证列也一起加密，以绝后患 !
　　注意：加密的验证列也可以由另一个相关表的列作为参数传入。
　　看一个完整的例子：


truncatetable dbo.PWDQuestion
go
--添加两个未加密的行
INSERT dbo.PWDQuestion
(CustomerID, PasswordHintQuestion, PasswordHintAnswer)
select13, '您出生的医院名称？',cast('浙江妇保院'asvarbinary)
unionall
select14, '您出生的医院名称？',cast('浙江妇保二院'asvarbinary)

--打开对称密钥,连CustomerID列一起加密
OPEN SYMMETRIC KEY sym_Demo
DECRYPTION BY PASSWORD ='newnew!456'
UPDATE dbo.PWDQuestion
SET PasswordHintAnswer =
EncryptByKey(Key_GUID('sym_Demo'),
PasswordHintAnswer,1,--1表示使用验证器值
CAST(CustomerID asvarbinary))
WHERE CustomerID in (13,14)
--打开后切记关闭！！！3w@live.cn
CLOSE SYMMETRIC KEY sym_Demo

--此时必须这样查看原数据
OPEN SYMMETRIC KEY sym_Demo
DECRYPTION BY PASSWORD ='newnew!456'
SELECT CustomerID,PasswordHintQuestion,
CAST(DecryptByKey(PasswordHintAnswer, 1,--1表示使用验证器值
CAST(CustomerID asvarbinary)) asvarchar(200)) PasswordHintAnswer
FROM dbo.PWDQuestion
WHERE CustomerID =13
--打开后切记关闭！！！3w@live.cn
CLOSE SYMMETRIC KEY sym_Demo 　　恶意替换开始：


/**********************************************************
--我们用刚才的CustomerID = 13的PasswordHintAnswer列值
--替换CustomerID = 14的PasswordHintAnswer列值，
--再用刚才读取14的方法读取真实值
**********************************************************/
update dbo.PWDQuestion set PasswordHintAnswer=
(select PasswordHintAnswer from   dbo.PWDQuestion where CustomerID =14)
where CustomerID =13　　此时，我们再查看：


OPEN SYMMETRIC KEY sym_Demo
DECRYPTION BY PASSWORD ='newnew!456'
SELECT CustomerID,PasswordHintQuestion,
CAST(DecryptByKey(PasswordHintAnswer, 1,--1表示使用验证器值
CAST(CustomerID asvarbinary)) asvarchar(200)) PasswordHintAnswer,
PasswordHintAnswer as binaryValue
FROM dbo.PWDQuestion
WHERE CustomerID in(13,14)
--打开后切记关闭！！！3w@live.cn
CLOSE SYMMETRIC KEY sym_Demo http://public.bay.livefilestore.com/y1pBnumLShg5T7IfKeTwqH84Q6orbJw9KDjZ3terP2Wq4F5__ky0waMNQwPF7NEmi-0mygg5K0dsZy39eLBPOP-3A/2011-3-13%2021-25-40.png?psid=1
　　郎勒个郎！爽吧！虽然复制了相同的二进制数据，可是读取结果令攻击者大失所望啊！
　　示例五、删除对称密钥
　　命令：DROP SYMMETRIC KEY 删除指定的对称密钥( http://technet.microsoft.com/en-us/library/ms182698.aspx)
　　例子：


DROP SYMMETRIC KEY symDemoKey　　注意：如果加密密钥打开没有关闭，则drop失败。
　　小结：
　　1、本文主要介绍对称密钥的创建、删除、查看以及用它来修改加密方式、进行数据的加密和解密。
　　2、对称密钥的特性是：在数据库会话中使用它对数据进行加密和解密前必须首先打开。
　　3、对称密钥可用于大数据的加密。
　　下文将主要介绍证书加密(Certificate Encryption)