SQL Server 2008中的代码安全（六）：对称密钥

示例四、使用对称密钥对数据进行加密和解密 。

1、为了使用对称密钥对数据进行加密，必须首先打开它，然后使用函数EncryptByKey 加密数据。( http://msdn.microsoft.com/zh-cn/library/ms174361.aspx )

2、使用DecryptByKey来解密使用对称密钥加密的数据。注意DecryptByKey不像甩EncryptByKey，无须使用对称密钥GUID。因此，为了解密，必须打开正确的对称密钥会话，否则会显示null。

下面是一个例子：

/****************************3w@live.cn***********************/ USE DB_Encrypt_Demo GO --创建测试数据表，用于对称加密 CREATE TABLE dbo.PWDQuestion (CustomerID int NOT NULL PRIMARY KEY, PasswordHintQuestion nvarchar(300) NOT NULL, PasswordHintAnswer varbinary(200) NOT NULL) GO --插入加密数据 OPEN SYMMETRIC KEY sym_Demo DECRYPTION BY PASSWORD = 'newnew!456' INSERT dbo.PWDQuestion (CustomerID, PasswordHintQuestion, PasswordHintAnswer) VALUES (12, '您出生的医院名称？', EncryptByKey(Key_GUID('sym_Demo '), '杭州市一')) CLOSE SYMMETRIC KEY sym_Demo

查看未加密的数据：

--解密数据 OPEN SYMMETRIC KEY sym_Demo DECRYPTION BY PASSWORD = 'newnew!456' SELECT CustomerID,PasswordHintQuestion, CAST(DecryptByKey(PasswordHintAnswer) as varchar(200)) PasswordHintAnswer FROM dbo.PWDQuestion WHERE CustomerID = 12 --打开后切记关闭！！！3w@live.cn CLOSE SYMMETRIC KEY sym_Demo

--不打开直接读取 SELECT CustomerID,PasswordHintQuestion, CAST(DecryptByKey(PasswordHintAnswer) as varchar(200)) PasswordHintAnswer FROM dbo.PWDQuestion WHERE CustomerID = 12

至此，好像已经大功告成了，别，千万别高兴得太早！

这里有个问题，如果恶意用户不知道CustomerID＝13的PasswordHintAnswer列的真实值，但知道CustomerID＝14的PasswordHintAnswer列的真实值,则完全可以通过 恶意替换 PasswordHintAnswer列而绕过加密！！ 3w@live.cn 此时，我们索性连 CustomerID列作为验证列也一起加密，以绝后患 !

注意： 加密的验证列 也可以由 另一个相关表的列 作为参数传入。

看一个完整的例子：

truncate table dbo.PWDQuestion go --添加两个未加密的行 INSERT dbo.PWDQuestion (CustomerID, PasswordHintQuestion, PasswordHintAnswer) select 13, '您出生的医院名称？',cast('浙江妇保院' as varbinary) union all select 14, '您出生的医院名称？',cast('浙江妇保二院' as varbinary) --打开对称密钥,连CustomerID列一起加密 OPEN SYMMETRIC KEY sym_Demo DECRYPTION BY PASSWORD = 'newnew!456' UPDATE dbo.PWDQuestion SET PasswordHintAnswer = EncryptByKey(Key_GUID('sym_Demo'), PasswordHintAnswer,1,--1表示使用验证器值 CAST(CustomerID as varbinary)) WHERE CustomerID in (13,14) --打开后切记关闭！！！3w@live.cn CLOSE SYMMETRIC KEY sym_Demo --此时必须这样查看原数据 OPEN SYMMETRIC KEY sym_Demo DECRYPTION BY PASSWORD = 'newnew!456' SELECT CustomerID,PasswordHintQuestion, CAST(DecryptByKey(PasswordHintAnswer, 1,--1表示使用验证器值 CAST(CustomerID as varbinary)) as varchar(200)) PasswordHintAnswer FROM dbo.PWDQuestion WHERE CustomerID = 13 --打开后切记关闭！！！3w@live.cn CLOSE SYMMETRIC KEY sym_Demo

恶意替换开始：

/********************************************************** --我们用刚才的CustomerID = 13的PasswordHintAnswer列值 --替换CustomerID = 14的PasswordHintAnswer列值， --再用刚才读取14的方法读取真实值 **********************************************************/ update dbo.PWDQuestion set PasswordHintAnswer= (select PasswordHintAnswer from dbo.PWDQuestion where CustomerID = 14) where CustomerID = 13

此时，我们再查看：

OPEN SYMMETRIC KEY sym_Demo DECRYPTION BY PASSWORD = 'newnew!456' SELECT CustomerID,PasswordHintQuestion, CAST(DecryptByKey(PasswordHintAnswer, 1,--1表示使用验证器值 CAST(CustomerID as varbinary)) as varchar(200)) PasswordHintAnswer, PasswordHintAnswer as binaryValue FROM dbo.PWDQuestion WHERE CustomerID in(13,14) --打开后切记关闭！！！3w@live.cn CLOSE SYMMETRIC KEY sym_Demo

郎勒个郎！爽吧！虽然复制了相同的二进制数据，可是读取结果令攻击者大失所望啊！

示例五、删除对称密钥

命令：DROP SYMMETRIC KEY 删除指定的对称密钥( http://technet.microsoft.com/en-us/library/ms182698.aspx )

例子：

DROP SYMMETRIC KEY symDemoKey

注意：如果加密密钥打开没有关闭，则drop失败。

小结：

1、本文主要介绍对称密钥的创建、删除、查看以及用它来修改加密方式、进行数据的加密和解密。

2、对称密钥的特性是：在数据库会话中使用它对数据进行加密和解密前必须首先打开。

3、对称密钥可用于大数据的加密。

下文将主要介绍证书加密(Certificate Encryption)

SQL Server 2008中的代码安全（六）：对称密钥加密