TDE PCI兼容吗？

Question

根据PCI协议，只要使用强密码技术，PAN就可以存储在数据库中。根据PCI，我找不到哪种加密技术被认为是强大的。问题是:我将PAN数字作为明文存储在我的一个数据库中，这些数字是从特定的应用程序(具有设置访问权限)中收集来生成报告的。问题是，目前，任何访问SQL数据库的人都可以以明文的形式查看或复制数字。关于TDE，有人告诉我，从我们的网络中访问数据库的任何人仍然可以将这些数字视为明文，并且只有当数据库被复制到外部时，这些数字才会被加密。我的问题如下:根据PCI标准，数据库管理员可以清楚地查看数字，即使数据库是TDE加密的？SQL数据库是否可以通过其他方式加密(可能是DES？)这样，数字只能从应用程序内部可见，而访问DB的每个人都只能查看加密的数据？

Answer 1

我假设您在这里讨论的是Microsoft SQL Server提供的"TDE“功能。

TDE的意思是透明的数据加密，强调“透明”。这是在存储数据时应用于数据的加密层；Server管理的每个字节在写入磁盘之前都是加密的，读取时会解密。使用Server的应用程序不必知道这个过程；这完全是Server与其存储文件之间的对话中的问题。所以才有透明度。它的好处在于它易于应用，性能非常好( CPU开销小到可以忽略不计，没有额外的I/O，没有额外的空间.)。缺点是，SQL Server本身，而不是应用程序，是看门人:无论谁被Server授予访问权限，都将能够看到清晰的数据。

有关PCI遵从性，请参见包含本段的本文件 (最后)：

一些加密解决方案对存储在数据库中的特定信息字段进行加密；另一些解决方案则对存储数据的单个文件甚至整个磁盘进行加密。如果使用全磁盘加密，则必须独立于本机操作系统访问控制机制来管理逻辑访问。解密密钥不能绑定到用户帐户。用于加密持卡人数据的加密密钥必须受到保护，以免泄露和滥用。所有用于加密持卡人数据的密钥管理流程和程序都必须被充分记录和实施。有关更多细节，请参见PCI需求3。

“全磁盘加密”适用于TDE (TDE名义上应用于文件，但所有文件)。在TDE中，实际的加密密钥由SQL Server管理，SQL Server将根据.它的配置，该配置可能映射或不映射到用户帐户上。因此，我想说，TDE是否授予PCI遵从性取决于它的使用方式。

我无权给出一个明确的答案，说明如何使用TDE实现PCI遵从性，但我注意到，维基百科页面包含一个令人鼓舞的摘录：“企业通常使用TDE来解决遵从性问题，如PCI。”因此可以推测，使用TDE满足PCI需求是可能的，或者至少许多人似乎坚信这是可能的，这几乎是好的。

微软有关于如何在遵从性上下文中配置和使用Server的文档。他们也有一个网播，其中可能包含很多有用的信息(我还没看过)。

Answer 2

PCI遵从性和加密从密钥管理的安全角度处理加密问题。虽然它引用了强加密，但这通常被看作是指行业标准，如3DES112、AES 128/256等。在引用公钥加密的地方，它正在寻找RSA2048。

持卡人数据(PAN)必须在休息时使用强加密加密。使用TDE时，可以使用您从SQL中选择的方式对数据进行静态加密，因此很可能是AES128或AES256。

对于符合PCI的要求，您需要能够显示加密密钥的双重控制和拆分知识。如果您可以使用TDE演示这一点(您应该能够)，那么您将。如果你有QSA，这可能是值得讨论的。

您应该考虑一下为什么要加密，以及它是如何保护您免受加密的(除非您只是想在PCI的方框中加上一个勾号)。使用TDE时，加密是透明的，因此，如果磁盘被盗，盗贼将在数据库空间查看加密数据，而本地用户则始终查看明文数据。由于物理安全控制，物理盗窃不是问题，而是数据的盗窃。使用TDE意味着数据可以由内部工作人员复制和查看，并且取决于前端的控件，也可以由恶意终端用户以明文形式提取。