公司新闻
数据安全与密码 | 存储数据三重风险需谨慎， 密码防护更安全-b体育官网
导语
《中华人民共和国数据安全法》已于9月1日正式开始施行，北京数字认证股份有限公司（以下简称“数字认证”）编撰了“数据安全与密码”专题。上一期，我们谈到了数据传输的安全，本期我们重点讲述数据存储安全，以最为常见的数据库存储与数据访问为例，探讨数据存储机密性保护涉及的保护对象，并从风险的角度分析多类技术措施的有效性。
在《中华人民共和国数据安全法》描述的数据处理活动中，数据存储安全是业界讨论最热烈的，关于存储数据机密性的需求则倍受关注。实际上，数据存储的安全需求并不存在于“存储”这个行为中，而是存在于对存储数据的“访问”行为中，只不过所采用的安全措施，有些是在存储时施加的，例如先加密再落盘等。
对于数据库，“存储”涉及前后相继的多个“写入”动作，包含了数据写入数据库表、数据文件写入主机文件系统，以及主机文件以二进制形式写入磁盘。这三个动作使得存储数据对不同的访问主体呈现出三种不同的形态：数据库表记录、数据文件、磁盘上的二进制数据。
从风险的角度出发，数据存储的机密性风险主要体现在数据被访问主体非预期获取，这既包括访问主体的身份被假冒，也包括身份真实的访问者执行了非正当的获取操作。从前面所述的，数据库存储时数据的三种呈现形态，攻击者可能会从数据库设备本身（a）、数据库管理入口(b)、应用系统入口(c)等访问点来分别接触这三种形态的数据,如下图所示：
风险a：
数据存储的物理介质或逻辑映像失窃
无论是攻击者或还是背叛的运维人员，假如能够接触到数据库服务器主机，那么这种直接针对数据库硬件设备的安全风险便是现实存在的，比如可以直接拆卸硬盘。对于业务应用部署在云上的情况，如果云服务商主动违规或云服务商被攻击，攻击者便可能将虚机化部署的数据存储主机的镜像全部拿走。
应对措施
应对这个层面风险，可以从访问主体身份真实性和物理介质上数据的机密性防护入手。
主体身份真实性方面，对于非云的物理设备，可参照gb/t39786的要求，采用密码技术对进出设备所在机房的人员身份进行鉴别，并维护出入记录的完整性以备事后审计；对于云上系统，可要求云服务商保证其物理环境安全。物理介质上数据的机密性方面，在设备驱动层实施的磁盘透明加密，以及在文件系统层实施的文件透明加密是常见的手段，攻击者即便拆走了磁盘等物理介质，也无法看懂其中的任何数据。
局限性：磁盘透明和文件透明加密只能防范物理介质失窃造成的数据泄露，无法防范操作系统管理员、数据库系统管理员背叛造成的数据泄露，因为对于他们的访问，数据从磁盘上提取到内存时，已经“透明解密”了。
风险b：
相关内部管理员实施“内部作案”
在背叛或被假冒的情况下，数据库管理员（以下简称“dba”）可通过查看、导出、备份等数据库管理命令或新建数据库访问账户的方式获取数据明文信息；而操作系统管理员则可以直接将数据文件拷贝出去。
应对措施
针对这类风险，仍从主体身份真实性和数据机密性两个方面考虑。
对于主体身份真实性，可根据数据重要程度的不同，考虑对数据库管理员/操作系统管理员的身份执行严格的鉴别，例如使用基于数字签名技术的身份鉴别，同时结合审计策略和日志记录的完整性保护做到管理员违规操作的事中事后发现。
对于数据机密性防护，类似上述的磁盘透明加密、文件透明加密等方式便不再有效。一种可行的方法是通过在数据库与应用之间部署额外的加密产品，实现数据入库前和出库后的透明加解密。这样，数据库/操作系统管理员能够接触的数据便全是以密文形式存在，从而防止管理员背叛或被假冒导致的数据泄露风险。
局限性：部署在数据库与应用之间的加密产品（如数据加密网关）能够避免因数据库管理员、操作系统管理员背叛造成的数据泄漏以及磁盘介质被窃的风险，但无法防范来自业务层的攻击。因为业务系统需要处理数据以完成业务操作，数据在从数据库经数据网关之后，理所当然解密成为明文。
风险c：
以应用为入口的数据泄露风险
应用侧对数据的威胁主要包括两类。第一类是应用的部署运维人员通常能够从应用配置中获取到数据库的访问账号，通过数据库访问工具获得数据；第二类是业务应用中的管理员角色滥用其“用户授权”功能，将访问用户数据的权限违规赋予其它用户，从而获得用户数据。
应对措施
针对上述的第一类威胁，常见的应对措施是对数据进行应用层加密，保护数据的机密性。应用系统随其需要，在存储数据时调用相关密码模块进行加密，在获取数据时通过密码模块进行解密，只有通过业务系统才能看到明文。由于应用侧配置的数据账号本身就代表了合法访问数据的实体，因此仅应用层的加密能够做到与应用紧密结合，从而有效应对此类威胁。
对第二类威胁，通常采用增强业务系统身份认证的方法，比如可采用基于密码技术的数字签名认证，或者包含生物特征和短信校验码的多因素身份鉴别等，从而保障应用管理员、运维管理员、用户等间接数据访问主体身份的真实性，保证权限相关操作行为的不可否认性。
局限性：以应用为入口的数据泄露风险，其防护手段是与业务系统密切相关的，也就是说相应的安全措施需要在业务系统上实现。这很难通过增加单独的数据安全产品来达到效果。但从某种程度上，这并不算是一种局限，而是促进业务系统在设计时就需要同步考虑数据安全保护措施，使得相应的数据安全机制融入到业务系统本身的机制之中。长远看来，以这种“内置”或“内生”方式实现的数据安全机制，才是数据安全得到充分重视的表现。