工具类服务
编辑部专用服务
作者专用服务
设计和实现基于UsbKey的透明加解密文件系统
加密文件系统是在操作系统级保护系统和防止用户敏感数据泄漏的一种有效手段.首先对几个著名的加密文件系统地进行了分析,并指出其在使用方式、密钥保护、配置管理以及性能方面存在的问题,而后从设计目标、系统组成、实现三个方面分析和讨论了一种基于UsbKey的透明加解密文件系统的实现方案,该方案基于Linux操作系统,使用UsbKey对于用户密钥进行安全存储和保护,并利用LSM(Linux Secure Module)机制,通过对于inode节点的读、写等关键操作的重定向,来实现文件的透明加解密的功能.本文对于Linux操作系统下的透明加解密文件系统的设计与实现具有一定的指导意义.
LIU Wei-peng
作者单位：
中国科学院研究生院信息安全国家重点实验室,北京,100039
解放军信息工程大学电子技术学院,郑州,450052
年，卷(期)：
机标分类号：
在线出版日期：
本文读者也读过
相关检索词
万方数据知识服务平台--国家科技支撑计划资助项目（编号：2006BAH03B01）(C)北京万方数据股份有限公司
万方数据电子出版社信息化Linux面临数据安全问题困扰
Linux面临数据安全问题困扰时间： 13:12:33作者：CNET科技资讯网文章来源:CNET科技资讯网 本文关键词：
　　Linux以其免费、开放式的平台赢得了广大研发人员的青睐；与微软的Windows NT网络操作系统相比，Linux系统的高效性和灵活性让它拥有了更多的客户。但这款由全世界各地成千上万的程序员设计和实现的软件把大量数据安全的隐患也带给了它的使用者。　　越来越多的企业在转而使用Linux平台进行代码研发，大量嵌入式应用的系统运行平台从私有操作系统、塞班系统、Windows CE等过渡到开放性的Linux平台，如何保证基于Linux平台的数据安全，已经成为了当务之急。　　被误读的安全概念：平台的安全并不等于数据的安全　　Linux一度被公认为运行稳定、安全性较高的操作系统，但平台的安全并不等于数据的安全，更不能认为用了Linux就可高枕无忧。特别对于运用在商业领域中的Linux研发，数据安全性和完整性，及出现问题后的处理能力是每个Linux研发企业与人员最为关心的问题。　　某研发企业的COO表示，Linux平台研发在企业的地位越来越重要。该公司由于一直认为Linux是十分稳定和安全的，所以疏忽了基于平台的数据保护工作，以至于出现源代码被泄露给竞争对手的事件，给企业带来了难以估量的损失。　　纵观信息安全的发展历史，安全隐患既有可能来自非法用户，也可能来自合法的用户。Linux平台相对非法用户更加安全的环境让很多使用者产生了某种误读。实际上在基于平台的数据方面，Linux和其他研发平台没有区别，Linux数据防护不但要防止来自网络的数据泄露，也要严格把控对内部网络用户的管理，通过完善的系统管理，才能从最大程度上避免数据安全事故的发生。　　基于从根本上解决Linux平台数据泄露防护问题的思想，国内DLP领军企业亿赛通发布了国内首款Linux平台下的文档透明加密系统。安全问题还得技术解决　　亿赛通的基于Linux平台下的文档透明加密系统被定义为防止Linux系统中存放程序源代码泄密的产品。亿赛通在设计此款文档加密系统时，旨在不改变用户使用习惯、计算机文件格式和编译程序的情况下，对指定类型的代码文件进行实时、透明地加解密，支持编译进程编译密文代码；伪造进程不能编译密文代码，所有通过非法途径获得的数据，都将以乱码文件形式表现。　　此款基于Linux文档透明加密系统具有以下功能特点：　　源代码加密保护――为JAVA、C++ 等各种程序源码进行加密保护。通过配置一个或多个工作目录后，保存在工作目录下的代码就会被加密保护；　　编译加密源代码――支持在无需解密为明文的情况下，对存储在Linux环境下的加密的源代码通过编译进程进行编译；　　编译进程合法性验证――通过对编译进程进行签名确认，可执行对编译进程的合法性验证。只有验证通过的进程，才是合法进程，才能对密文代码进行编译；　　自身安全强保护――通过各种非法手段使透明加解密客户端进程关闭后，强制加密策略依然有效。非法用户无法访问已经加密的代码，并且在工作目录下编辑的代码依旧可以被加密，依然得到保护。　　日志审计――支持向文档加解密服务器上传文档操作行为日志。服务器可以从庞大的记录数据中抽取有用的信息，对用户的某些操作进行分类整理，通过操作记录，回溯历史活动，从而发现泄密渠道。　　与Windows透明加解密系统兼容――只要采用相同的密钥，在Windows平台加密的代码可以直接在Linux平台下透明编译。在Linux平台下加密的代码也可以直接在Windows平台下透明编辑、编译等操作。　　安全时代还要有安全意识　　亿赛通基于Linux平台下的文档透明加密系统具备很好的性能优势。在编译性能方面，加密后对源代码编译的时长增加，范围在5%以内。亿赛通文档透明加密系统还具备高稳定性，系统可支持对加密后的Android源代码、Linux内核源代码等复杂代码工程的透明编译。其加解密过程智能透明，采用智能透明加解密技术，不会改变用户的任何操作习惯，也不改变原有信息的格式和状态；在系统扩展性上，可在图形化和无图形化的Linux系统上使用，简单易用，提供可视化操作界面，适用于PDA,车载电脑,MID,手持设备,消费电子,工控主板、家电等嵌入式Linux研发企业，还有手机平台、手机游戏、手机应用开发等手机开发企业。　　亿赛通文档透明加密是一种强有力的Linux系统安全手段，它能在各种环境下很好地保护数据的机密性。对广大Linux平台研发企业有着重大意义。它为企业构建了一个安全的研发环境，避免了企业Linux系统中存放程序源代码泄密而造成重大损失。　　亿赛通基于Linux平台下的文档透明加密系统的发布，已经开创了Linux平台研发数据安全的全新时代。但亿赛通CEO阮晓迅表示，技术上的进步只是一个方面，真正重要的还是企业的安全意识，安全的意识+手段，才能有效的为企业构筑数据泄露的防护堡垒。阮晓迅透露，目前已经有一批研发企业正在进行产品测试，他们将率先成为Linux平台下的文档透明加密系统的受益者。
您看到此篇文章时的感受是：
的相关文章的相关文章
最受关注的文章：
最新更新文章：
科技疯?数码博客访问： 1195
博文数量： 2
博客积分： 65
博客等级： 民兵
技术积分： 30
注册时间：
IT168企业级官微
微信号：IT168qiye
系统架构师大会
微信号：SACC2013
分类： LINUX
由于嵌入式Linux具有天生秉承的优势，越来越多的企业已经把目光转向了嵌入式Linux的开发和应用上。大量嵌入式应用的系统运行平台已经从私有操作系统、塞班系统、Windows CE等过渡到开放性的Linux平台。2011年初数据显示，正式上市仅两年的基于Linux开放性内核的操作系统Android已经超越称霸十年的塞班系统，使之跃居全球最受欢迎的智能手机平台。现在，Android系统不但应用于智能手机，也在平板电脑市场急速扩张，在智能MP4方面也有较大发展。已经有大量的制造企业在使用Linux平台进行代码研发。代码成果何其宝贵，如果有丝毫的泄露，都会造成巨大的损失。健明linux平台源代码防泄漏软件是一套运行在Linux平台环境下，防止Linux系统中存放程序源代码泄密的产品。该系统在不改变用户使用习惯、计算机文件格式和编译程序的情况下，对指定类型的代码文件进行实时、透明地加解密，支持编译进程编译密文代码，伪造进程不能编译密文代码。所有通过非法途径获得的数据，都将以乱码文件形式表现。
功能特点 高稳定性国内首创linux内核级的透明加解密软件，在内核中实现，所以系统运行很稳定,速度很快。可支持对Android源代码、Linux内核源代码等复杂代码工程的编译。加解密过程智能透明系统采用智能透明加解密技术，不会改变用户的任何操作习惯，也不改变原有信息的格式和状态。防止文件外泄加密的文件被拷贝到U盘等移动存储设备或通过网络发送时，原来的加密文件不会解密。能有效防止保密文件外泄。 源代码加密保护为C/C++/JAVA等各种程序源码进行全盘加密保护, 无需配置。 编译加密源代码支持在无需解密为明文的情况下，对存储在Linux环境下的加密的源代码进行编译。 编译性能因为功能实现部分在内核中，所以速度很快，编译时长几乎没有增加简单易用安装极为简单，使用时无需任何操作。
客户端操作系统版本: 可以支持任何发行版本，试用版只支持Ubuntu11.04 支持编译工具: GCC\\G++\\MAKE\\JAVAC\\ARM
应用范围:可适用于高科技及嵌入式开发、手机平台研发、手机软件研发及其他使用Linux进行代码研发的企业。青岛健明科技发展有限公司
阅读(348) | 评论(0) | 转发(0) |
上一篇：没有了
相关热门文章
给主人留下些什么吧！~~
请登录后评论。Oracle数据透明加密-TDE_数据库技术_Linux公社-Linux系统门户网站
你好，游客
Oracle数据透明加密-TDE
来源：Linux社区&
作者：yesu898
10g R2提供了一个新的特性，让你只需要做如下动作：你可以不写一行代码，只需要声明你需要加密某列。当用户插入数据的时候，数据库透明的加密数据然后存储加密后的数据。同样的，当用户读取数据时，数据库自动进行解密。由于加解密操作对应用程序来说都是透明的，不需要应用程序修改代码，因此这个特性就叫做：透明数据加密（TDE）。
简单来说默认不对数据进行TDE加密，数据库中的某些敏感数据是直接可以在操作系统层面进行读取的，方法不进行阐述。
10gR2 可以对指定列进行加密，11g还可以对表空间进行加密。
制定master密钥存放位置（位置TNS_ADMIN变量为准）
vi& $ORACLE_HOME/network/admin/sqlnet.ora
添加如下参数
ENCRYPTION_WALLET_LOCATION=
(SOURCE=(METHOD=FILE)(METHOD_DATA=(DIRECTORY= /home/oracle/app/oracle/admin/orcl/wallet)))
Oracle用户手动创建wallet文件夹
mkdir /home/oracle/app/oracle/admin/orcl/wallet
否则报错ORA-28368: cannot auto-create wallet
创建wallet并在其中装入master密钥&
SQL& alter system set key identified by "oracle";&
System altered.
在$ORACLE_BASE/admin/sid/wallet文件夹中生成密钥文件
ewallet.p12
创建wallet后，它将保持打开状态，直到将其关闭，或者重启数据库。
可以检查wallet的状态
col wrl_type format a7
col wrl_parameter format a55
select wrl_type,wrl_parameter,status from gv$encryption_
WRL_TYP WRL_PARAMETER
------- -------------------------------------------------------
------------------
file& & /home/oracle/app/oracle/admin/orcl/wallet
手动打开wallet,打开是需要密码的
alter system set encryption wallet open identified by& "oracle";
也就是说数据库每次重启都需要安全管理专员手动打开wallet，否则加密数据无法读写。
当然也可以设置自动登录wallet，但是建议在开发或者测试阶段进行。
打开自动登录的方法通过Oracle wallet Manager&
运行owm命令打开图形界面，
打开现有wallet（找到master密钥存放路径)
打开自动登录
在master密钥存放路径中生成一个文件cwallet.sso。
关闭wallet
可以通过手动关闭wallet
注意10g关闭不需要wallet口令，如果wallet被关闭，所有的加密解密将自动终止。
11g 关闭需要wallet口令,语法如下，否则提示ORA-28390: auto login wallet not open but encryption wallet may be open
alter system set wallet close identified by "oracle";
另外，如果设置自动登录11g环境下执行关闭命令不需要输入密码
SQL& alter sys&
可以执行成功，但是查询gv$encryption_wallet视图，状态依然是OPEN，而不是closed。&
此时查询依然可以查询加密内容。
TDE的密钥管理
在对表进行加密时，TDE为每个包含加密字段的表都生成相应的密钥，而不是所有的表都使用相同的密钥。
TDE使用对称密钥技术进行数据加密和解密，性能高。
对于表空间的密钥是存储在数据字典中，前提是它首先使用master密钥对所有的表密钥进行加密。
新表创建加密列
create table ( encrypt [algorithm] [nomac] [no salt]);
[algorithm] 加密算法
[nomac] 10.2.0.4才开始有的参数当加密一个列需要额外的20字节存储密文时，将会生成一个消息验证码。
[no salt]) salt通过在明文中插入某个随机值（在TED中为一个16字节的值）能够有效的增强加密算法的强度，避免对加密数据的&明文"攻击。
create table foo (columnA dataype,columnB dataype encrypt);
该句默认使用192为子长密钥的AES加密算法，使用salt以及一个20位的mac。当然，如果希望某列上用索引，最好不要在其上加入salt。
查看加密列
select owner,table_name,column_name,encryption_alg,salt from dba_encrypted_
对现有列进行加密
alter table modify& ( encrypt ['nomac'] [no salt]);
如果数据量比较大，直接对列加密会增加cpu和存储负载，因此可以考虑使用在线重定义的形式重新组织表。（不赘述）
TDE列加密弊端
使用数据修改捕获（无论同步还是异步）、流、物化视图、透明表空间、LOB就不能用了，随着11G 引入表空间加密，这一问题得到解决。
加密的列如果使用了 salt，则无法在上面创建索引。
因为索引存储的是加密后的值，所以即使不使用salt 也只可以使用基于等式匹配的查询，对于范围查询也无能为力。
因为不同表密钥不同，因此除非事先解密数据，否则无法发现PK/FK的关系定义。
表空间加密
表空间加密，其中的所有存储内容都会进行加密。&
create tablespace ts_encrypted datafile& '/home/oracle/app/oracle/oradata/ORCL/datafile/ts_encrypted _d08ww9lb_.dbf' size 100m autoextend on encryption using 'AES192' default& storage(encrypt);
查询表空间加密
select ts.name,et.encryptedts,et.encryptionalg from v$tablespace ts,v$encrypted_tablespaces et where ts.ts#=et.ts#;
列级别加密步骤
1确定待加密的列
2确定tde都能够支持此数据类型
3确定在该列上不存在索引
4确定改了不属于某个PK/FK关系
5对列进行加密
6重新组织表或在线重定义
表空间加密步骤
1确定含有敏感数据的列表
2创建一个新的加密表空间
3使用alert table customer move tablespace encrypted_将表移动到新表空间。
4索引需要重建，例如：alter table tde_table1_index1 rebuild tab
5将表从加密的表空间move到普通表空间，就完成了解密。
11g表空间级透明数据加密的功能提升
相对于10g版本的列级TDE，表空间级TDE提供了更多的灵活性和更好的性能。
下列表格是10g列级TDE和11g 表空间级TDE的比较。
表空间级TDE
加密完成在
Data Block 层
在SGA中加密数据的状态
支持的索引类型
只支持b-tree索引
支持所有类型索引
支持外键？
不知道外键加密（因为不同的表用不通的key）
支持的索引search方式
支持等值search，不知道范围扫描
支持所有类型的search
支持的数据类型
执行计划是否改变
是否需要增加存储的占用
对其他产品的支持
TDE支持Dataguard,
TDE不支持传统导出导入exp/imp
TDE支持expdp/impdp，可以直接导出，但是会提示ORA-39173 encryptd data has been stored unencrypted in dump file set ，表时是明文方式存储在DUMP文件中，可以直接导入。
为了保证导出DUMP的安全也可以在导出时使用 ENCRYPTION_PASSWORD参数来对备份文件设置加密口令，导入时只有提供口令密码才能导入数据。
更多Oracle相关信息见 专题页面
本文永久更新链接地址：
相关资讯 & & &
　　　同意评论声明
　　　发表
尊重网上道德，遵守中华人民共和国的各项有关法律法规
承担一切因您的行为而直接或间接导致的民事或刑事法律责任
本站管理人员有权保留或删除其管辖留言中的任意内容
本站有权在网站内转载或引用您的评论
参与本评论即表明您已经阅读并接受上述条款