azure - SQL Server 2016 中始终加密的行为

Question

我正在 SQL Server 2016 中为主题“始终加密”做一些演示。没什么疑问。以下是遵循的步骤:

在数据库服务器中(托管在 Microsoft Azure VM 中):

1. 在表 MyTable 中，创建了列加密 key (CEK) 和主加密 key (CMK)
2. Select * from MyTable，显示加密数据。(来自应用程序和数据库服务器)
3. 从数据库服务器导出证书
4. 已在应用服务器(我的本地计算机)中导入证书
5. 在我的应用程序的连接字符串中添加了Column Encryption Setting=Enabled。
6. 它工作正常，现在它按预期显示纯文本数据。

怀疑:

在数据库服务器(在 MS Azure VM 中)中，如果系统管理员登录(SQL 身份验证)使用附加参数列加密设置 = 已启用 连接到 SSMS，则会显示纯文本数据(期望加密数据) )。 我的理解是，应用程序用户之外的任何人都不应看到纯文本数据)。谁能解释一下吗？

Answer 1

在第 3 步中，您提到要从数据库服务器导出证书，为了确保最大的安全性，从不将证书存储在数据库服务器上。服务器不需要访问证书。

If a SysAdmin login (SQL Authentication) connects to SSMS with additional parameter Column Encryption Setting=Enabled, It is shows plain text data (expecting encrypted data). My understanding is, no one other then application users should see the plain text data). Can anyone please clarify?

如果系统管理员从具有证书的客户端计算机连接到 SSMS，并且系统管理员有权访问该证书，那么他们将看到纯文本数据。

粗略地说，Always Encrypted 提供了以下安全保证，明文数据仅对有权访问 ColumnMasterKey(证书)的实体可见

---

为了详细说明，请考虑以下场景。

考虑两台机器:

• MachineA:运行 SQL Server 的计算机
• MachineT:客户端计算机。

考虑两个用户

• UserA(从技术上讲，这可以是一组用户，但为了简单起见，我将考虑单个用户的场景):谁是 MachineA 上的管理员，管理 SQL Server，并且是 SQL Server 上的系统管理员。但是，userA 对 MachineT 没有任何访问权限，并且 UserA 不应该能够解密存储在计算机上的 SQL Server 中的任何加密数据答(加密数据，在此答案的上下文中是使用 SQL Server 的始终加密功能加密的数据)。

• UserT(从技术上讲，这可以是一组用户，但为了简单起见，我将考虑单个用户的场景):是受信任的用户，可以访问MachineT ，可以访问 MachineA 上的 SQL Server 中托管的数据库 db 中的所有数据。此外，由于userT是可信的，他/她应该能够解密加密的数据。

考虑在机器A上运行的SQL Server具有数据库db和表t。

我们的目标是保护属于表t的列，例如ssnCol，这样只有userT应该能够看到< em>ssnCol 明文形式。

上述目标可以通过以下步骤来实现。

• UserT 登录MachineT。
• UserT 在 MachineT 中打开 SSMS。
• UserT 连接到 MachineA 上的 SQL Server
• UserT 使用 this article 的加密列(配置始终加密) 部分中提到的步骤对表 t 中的 ssnCol 进行加密
• 完成此步骤后，ssnCol 列将被加密。

当userT按照上述方式加密ssnCol时，会生成两个 key

• CMK:CMK 又名列主 key ，是用于加密 CEK 的 key 。此 key 存储在 MachineT 的 Windows 证书存储中。
• CEK:CEK 又名列加密 key ，是用于加密 ssnCol 的 key ，此 key 以加密形式存储在 MachineA< 上的 SQL Server 中/em> 并且不会以明文形式保留在任何地方。

因此，为了解密ssnCol，需要CEK，但是，为了解密CEK，需要CMK。

由于 CMK 位于 machineT 的 Windows 证书存储中，因此只有 userT 可以访问 CMK、解密 CEK 和解密 ssnCol。

userA 是 machineA 上的管理员，也是 SQL Server 上的系统管理员，但是，由于他/她无权访问 CMK，userA 无法以明文形式访问 ssnCol。您可以通过使用 MachineA 中的 SSMS、以 userA 身份登录并查询 ssnCol

来验证这一点

如果您还有其他问题，请在评论部分提出，我可以回答。