SQL Server SSL + TDE vs始终加密

Question

使用Server (连接字符串中的Encrypted=true)+ TDE与使用始终加密的Server有什么不同？

关于RGPD，一个比另一个更适应吗？

Answer 1

始终加密的存在不仅仅是为了解决确保数据在传输过程中被加密的问题。事实上，这甚至不是总是加密解决的首要问题。

一直加密的最大问题是，具有透明数据加密(TDE)的(加密数据的密钥和证书)本身存储在数据库中。可能会引起考虑将Server数据库放在云中的人的担忧，因为云提供商最终拥有解密数据的秘密。

在始终加密的情况下，用于加密/解密列数据的列加密密钥(CEK)以其加密形式存储在数据库中。但是这里有一个密钥--用于加密/解密CEK的密钥存储在数据库之外，使数据库无法单独解密数据。

数据库所能做的就是

1. 提供加密的证书，
2. 提供CMK的位置，以及
3. 提供/存储预先加密的数据。

客户端应该从密钥/证书存储中获取列主密钥( CMK )，然后使用CMK对CEK进行解密，并使用解密后的CEK加密/解密数据。

这就是概念上的区别。下面有几页介绍它的细节：

• 始终加密的密钥管理概述 (微软文档)
• Server加密:始终加密 (红门文章)

请注意，在查询数据和其他方面，总是加密会带来一些很大的缺点。这篇文章给出了一个很好的限制列表。这些缺点中的一些可以使用总是用安全的飞地加密来缓解。