CN103500202B - 一种轻量级数据库的安全保护方法及*** - Google Patents

Abstract

一种轻量级数据库的安全保护方法及其***，涉及信息安全技术领域。方法包括：用户通过数据库访问代理访问数据库；在响应用户对数据库的操作前，数据库访问代理先通过远程证明平台验证客户端所在运行平台的安全性；③数据库为密文数据库，在响应用户操作前必须先对数据库进行解密；④在数据库解密前，数据库所在运行平台要验证自身的安全性，若安全则对数据库进行解密并实施用户操作，在操作完成后重新将数据库加密存储。***包括远程证明子***和数据库加密保护子***。采用本发明后，可使数据库安全性增强，并在访问数据库前验证客户端所在运行平台和数据库所在运行平台的安全性，避免不严格的身份认证和平台可能已被攻破带来的安全隐患。

Description

一种轻量级数据库的安全保护方法及***

技术领域

本发明涉及数据库保护方法技术领域，特别是一种轻量级数据库的安全保护方法，该方法通过可信计算技术，对数据库进行加密保护，并在确保数据库所在平台安全的前提下才进行对数据库的解密；通过远程证明技术保护数据库不被非法用户访问，并避免合法用户在未保证安全的客户端运行平台上访问数据库。

背景技术

随着数据库技术和网络技术的不断发展，基于网络和数据库的数据库应用***得到越来越广泛的应用。这些数据库***担负着存储和管理信息的任务，泄漏或破坏这些信息将会给企业和国家造成重大损失。因此，数据库***的安全性问题越来越受到人们的重视。

实现数据库安全保护的方法和技术多种多样，其核心都是用户标识鉴别和以用户鉴别为基础的访问控制。在用户身份鉴别方面比较常用的方法有：用户身份的表明用输入用户名来进行；用户身份通过回答口令进行标识；用户身份通过回答对随机数的运算结构进行表明等。在数据库访问方式方面，比较常见的方式有：用户直接访问数据库；用户通过数据库代理访问数据库；数据库***与互联网隔离等。访问控制方面，主要是通过各种途径完善用户授权机制，实现授权用户对授权对象的访问权限的分配、回收、定义和控制。对数据库进行加密处理也是一种常用的保护方法。在一个***中，往往是多种方法同时使用，以使***安全性更强。

上述保护方法都有一个共同的弱点，即它们都忽略了对运行平台的安全性约束，既不验证客户端运行平台的安全状态，也不验证数据库所在运行平台的安全状态，因此给***留下了安全隐患。

可信计算是近年来出现的一种信息安全新技术，是构建计算机***安全、网络安全的重要手段。可信计算的总体目标是提高计算机***的安全性，现阶段的主要目标是确保***数据的完整性、数据的安全存储和平台身份的可信性，并确保用户使用的设备（含软硬件）的真实性和可预期性。可信计算平台提供了密封存储、远程证明、隔离机制、安全I/O等保护功能，极大地增强了平台的数据保护能力，使平台内部、平台与平台之间能够建立广泛的信任。

远程证明作为可信计算的一大特色功能，旨在认证平台硬件、软件堆栈中每一层运行的软件的运行状态，向远程依赖方证明应用程序所在的平台可信。远程证明方法有四种基本模型：直接证明，基于TTP（可信第三方）验证的证明，基于离线TTP的证明，委托证明。其中基于TTP验证的证明在可信平台上应用比较普遍，是可信计算平台远程证明非常通用的模型。

发明内容

本发明的主要目的在于提供一种轻量级数据库的安全保护方法，它通过可信计算技术，对数据库进行加密保护，并在确保数据库所在平台安全的前提下才对数据库进行解密和其它操作；通过远程证明技术保护数据库不被非法用户访问，并避免合法用户在未保证安全的客户端运行平台上访问数据库；本发明同时也提供一种轻量级数据库的安全保护***。

本发明一种轻量级数据库的安全保护方法，该方法包括下述步骤：

第1步：在数据库***提交用户前，将数据库加密存储于数据库运行平台，并将密钥进行密封存储得到密钥的密封存储值，简称封存密钥；

第2步：在响应用户对数据库的操作请求前，先验证客户端所在运行平台的安全性，若安全验证通过，则转第3步，否则给出提示信息并拒绝用户的操作请求；

第3步：在解密数据库、实施用户操作请求之前，先解封数据库的封存密钥，若解封成功说明数据库所在运行平台安全值得信任，得到密钥后对数据库进行解密并实施用户请求的操作，在操作完成后重新将数据库加密存储，若解封失败说明数据库所在运行平台的安全性不值得信任，得不到解密密钥无法解密数据库，则给出提示信息并拒绝用户的操作请求。

本发明提供一种轻量级数据库的安全保护***，该***基于可信计算平台，包含2个子***：远程证明子***和数据库加密保护子***。

所述远程证明子***主要包含客户端、数据库访问代理和远程证明平台;用户使用客户端通过数据库访问代理对数据库进行访问，数据库访问代理分别与客户端、数据库加密保护子***和远程证明平台连接。

所述数据库加密保护子***就是数据库所在的运行平台，其主要功能依赖两大核心模块：数据库操作模块和可信平台模块（TPM）。

远程证明子***负责在接收用户操作后，验证客户端所在运行平台的安全性，并判断是否信任客户端所在运行平台，若客户端所在运行平台值得信任，则把用户操作传递给数据库加密保护子***，否则给出提示信息并拒绝用户的操作请求;数据库加密保护子***负责在收到远程证明子***传递来的操作请求后，解封数据库的封存密钥，若解封成功说明数据库所在运行平台安全值得信任，则对数据库进行解密并实施用户请求的操作，在操作完成后重新将数据库加密存储，若解封失败说明数据库所在运行平台的安全性不值得信任，则给出提示信息并拒绝用户的操作请求。

客户端是一台计算机，需要具有能够提供远程证明所需的客户端运行平台信息的能力。用户登录客户端后客户端搜集当前运行平台的平台信息，将平台信息与用户的操作请求一起打包发送给数据库访问代理，等待数据库访问代理的反馈。

数据库代理是一台计算机，作用是将客户端传来的客户端运行平台信息转发给远程证明平台，等待远程证明平台反馈来的验证结果，若验证结果表明客户端运行平台安全可信，则将用户操作命令发送给数据库加密保护子***，并将数据库加密保护子***的反馈信息传递给客户端，否则给出提示信息并拒绝用户的操作请求。

远程证明平台是一台计算机或一组服务器，其作用是根据客户端运行平台信息验证并判断客户端运行平台的安全性是否值得信赖。远程证明平台的运行原理及方法已有成熟的理论和多样化的原型***，故在本发明不再对其进行约束。

数据库操作模块是软件模块，运行于操作***上，在接到用户操作命令后调用可信平台模块提供的功能接口，对封存密钥进行解封，若解封成功，再调用可信平台模块提供的功能接口对数据库进行解密，然后对数据库进行操作，操作完成后把操作结果反馈给数据库访问代理并调用用可信平台模块提供的功能接口对数据库进行加密；若解封不成功，则直接把提示信息反馈给数据库访问代理并拒绝用户的操作请求。

可信平台模块（TPM）位于计算机***的硬件层，内嵌于主板上，通过TPM驱动与数据库操作模块进行通信，可信平台模块完成密封存储和加密操作的具体实现。在计算机启动信任链的建立过程中，TPM会对计算机***的软件、固件和硬件的二进制数据块进行度量，其度量值不断地扩展TPM内部的平台配置寄存器（PCR），故PCR值包含了对应的平台配置信息。在密封存储和解封的过程中，TPM会按照预先的设置读取PCR值并参与运算，因此若解封成功则表示与密封存储时相比，PCR值未发生改变，也就是对应的平台配置信息未发生改变，即平台的安全性值得信赖。

本发明利用可信计算技术在安全存储方面的优势，增加数据库的安全强度；本发明利用可信计算技术在确保用户使用设备的真实性和可预期性方面的优势，在对数据库进行操作的过程中增加了对运行平台安全性的验证，避免了安全隐患，以达到数据库保护的目的。具体而言。

本发明一种轻量级数据库的安全保护方法及***的优点是：

（1）在对数据库进行操作的过程中增加了对客户端运行平台安全性的验证，避免了不严格的身份认证和客户端可能已被攻破带来的安全隐患；

（2）本***属于密文数据库，用于数据库解密的密钥仅以密封存储值的形式存在，密钥值不会逗留内存或文件中，也不由用户手动输入，除通过可信平台模块对密封存储值解封外，没有其它获取密钥值的途径；

（3）要对密钥的密封存储值进行解封，必须在预期安全的软硬件环境下进行，不满足预期要求的软硬件环境会导致解封失败。

附图说明

图1是本发明提供的数据库保护方法的较佳实例的流程图；

图2是本发明较佳实施例的数据库保护***结构示意图；

图3是本发明较佳实施例的数据库访问步骤示意图；

图4是数据库访问代理的工作流程图；

图5是数据库加密保护子***的工作流程图；

图6是本发明提供的数据库保护***的结构图。

具体实施方式

一种利用可信平台模块共同完成数据库保护功能。可信平台模块（TrustedPlatform Module）是一种植于计算机内部为计算机提供可信根的芯片。芯片的规格由可信计算组织（Trusted Computing Group）来制定。依据TCG发布的 “TPM Main SpecificationLevel 2 Version 1.2，Revision 116”（简称为TPM 1.2）规范描述，该芯片可以提供本发明中需要用到的密封存储（TPM_Seal）、解封运算（TPM_Unseal）、完整性度量（TPM_SHA1Complete）、生成密钥（TPM_GetRandom）等功能。

本发明的数据库保护方法包括：（1）用户通过数据库访问代理访问数据库而非直接对数据库进行操作；（2）在响应用户对数据库的操作请求前，数据库访问代理要先通过远程证明平台验证客户端所在运行平台的安全性，若验证通过则将操作请求发往数据库，若不成功则给出提示信息；（3）数据库为密文数据库，在响应用户操作前必须先对数据库进行解密；（4）解密数据库所使用的密钥不以明文形式存在，也不通过用户手动输入，而是以密封存储值的形式保存在数据库运行平台中，在解密数据库前，必须先通过解封得到密钥；（5）在解封密钥的过程中，数据库所在运行平台内的可信平台模块将检验数据库所在运行平台的安全性，若数据库所在运行平台的安全性值得信赖则解封成功得到密钥，若解封失败则给出提示信息；（6）得到密钥后对数据库进行解密并实施用户请求的操作，在操作完成后重新将数据库加密存储。

下面结合附图对本发明的具体实施方式作进一步说明。在此需要说明的是，对于这些实施方式的说明用于帮助理解本发明，但并不构成对本发明的限定。此外，下面所描述的本发明各个实施方式中所涉及到的技术特征只要彼此之间未构成冲突就可以相互组合。

如图1所示，本发明方法提供的较佳实例主要分三步完成：

步骤S1，将数据库加密，并对解密密钥做密封存储操作。

本步骤由数据库***开发者在***提交最终用户前实施，其目的是对数据库进行加密保护，并将数据库所在运行平台处于安全可信状态下的软、硬件配置信息记录下来，作为今后对数据库所在运行平台进行安全性检验的依据。

步骤S1的具体实施步骤为：

（1）获取一个随机数作为密钥；

具体可以通过向数据库所在运行平台的可信平台模块发送“TPM_GetRandom”命令即可由返回值得到密钥；

（2）从数据库所在运行平台的可信平台模块中读取当前软硬件环境的特征信息；

当前软硬件环境的特征信息预存于可信平台模块的各个PlatformConfiguration Register（平台配置寄存器PCR）中，通过向可信平台模块发送“TPM_PCRRead”命令可读取各个PCR的值，即提取了对应的软硬件环境的特征信息；

依照本发明的较佳实施例所述的数据库保护方法，其中数据库所在运行平台的当前运行环境的特征信息可以选择下述信息中的任一项或任几项：操作***核心文件、***引导文件、***中的重要库文件、***中的重要应用程序的摘要信息，硬盘序列号，网卡MAC地址，及各种其它硬件、板卡的摘要信息；

（3）将当前软硬件环境的特征信息作为参数，通过可信平台模块将密钥进行密封运算，得到密钥的密封存储值并保存于硬盘；

将PCR值和密钥值作为命令参数向可信平台模块发送“TPM_Seal”命令进行密封运算，运算结果由命令返回值得到，就是密钥的密封存储值，简称封存密钥；

（4）用密钥对数据库进行加密；

在步骤（4）后，该密钥结束即销毁，其值不会逗留在内存或文件中，其内容信息只以被密封存储值的形式存在硬盘中。本发明方法对加密方法并没有特殊的要求，可以采用如AES加密算法等各种加密算法。

步骤S2，验证客户端所在运行平台的安全性，若安全则将用户的操作请求发送给数据库运行平台并转步骤S3，否则给出提示信息；

本步骤的目的是在收到客户端传来的用户操作请求后，先验证当前的客户端所在运行平台的安全性，若安全则可将操作请求发送给数据库运行平台，否则给出提示信息；

依照本发明的较佳实施例所述的数据库保护方法，其中客户端所在运行平台安全性的验证步骤为：

（1）客户端在收到用户的操作指令后，搜集客户端所在运行平台的平台配置信息，将平台配置信息与用户操作指令一起打包发送给数据库访问代理；

（2）数据库访问代理将客户端所在运行平台的平台配置信息转发给远程证明平台，由远程证明平台对客户端所在运行平台的安全性进行验证；

（3）远程证明平台将客户端所在运行平台的安全性验证结果发送给数据库访问代理。

步骤S3，将密钥的密封存储值进行解封，若解封成功则解密数据库并完成用户操作，操作完成后将数据库加密保存，否则给出提示信息；

本步骤的目的是在数据库解密前，先验证当前数据库运行平台的安全性，若前数据库运行平台安全可信，则数据库可被正常解密，用户操作可被执行，否则给出提示信息；

依照本发明的较佳实施例所述的数据库保护方法，其中数据库的解密步骤为：

（1）从数据库所在运行平台的可信平台模块中读取数据库所在运行平台的对应的特征信息；

（2）将数据库所在运行平台的特征信息作为参数，通过可信平台模块对密钥的密封存储值进行解封运算；若解封不成功，则给出提示信息，提示当前软硬件环境不满足要求；

向可信平台模块发送“TPM_Unseal”命令进行解封运算，运算结果由命令返回值得到；

（3）若解封成功，则用解封出的密钥对数据库进行解密。

依照本发明的较佳实施例所述的数据库保护方法，在密钥的密封存储过程（步骤S1中）和密封存储值的解析（步骤S3中）过程中，都需要从可信平台模块读取当前数据库所在运行平台软硬件环境的特征信息，若两次读取的特征信息值不一致，则会导致密封存储值的解封运算失败。

依照本发明的较佳实施例所述的数据库保护方法，其中的步骤S1，由数据库***开发者在***提交最终用户前实施，数据库提交用户后无法进行第二次处理。

依照本发明的较佳实施例所述的数据库保护方法，其中数据库的解密密钥为数据库所在运行平台中的可信平台模块生成，步骤S1结束即销毁，其值不会逗留在内存或文件中，其内容信息只以被密封存储值的形式存在于硬盘中。

本实施例的数据库保护***结构参照图2，该***的应用场景是，客户端A试图通过数据库访问代理C访问数据库运行平台D，首先必须经过远程证明平台B的验证后，才能访问。

客户端A是一台装有TPM芯片的计算机，可按照远程证明平台B的要求，搜集客户端A的平台配置信息。

远程证明平台B是一套远程证明服务器，为远程证明过程的控制者和远程证明结果的提供者。本实施例中远程证明平台B向客户端A提出的平台配置信息包括：操作***补丁、防病毒软件、防火墙软件的信息。

数据库访问代理C是一台计算机，其工作流程如图4所示。数据库访问代理一直等待接收客户端传来的用户操作指令和客户端所在运行平台的平台信息；一旦有操作指令和客户端所在运行平台的平台信息传来，数据库访问代理C就先将客户端所在运行平台的平台信息传输给远程证明模块，并等待远程证明结果，若验证结果认为客户端运行平台安全，则将用户操作指令传输给数据库运行平台，否则给出提示信息。

数据库运行平台D为一台装有TPM芯片的计算机，其工作流程如图5所示。数据库运行平台一直等待接收数据库访问代理传来的用户操作指令；一旦收到操作指令，数据库运行平台就将数据库解密密钥的密封存储值发给可信平台模块进行解封，若解封成功则用密钥将数据库解密出来并完成用户操作，操作完成后将数据库重新加密保存，若解封失败则将反馈信息发送给数据库访问代理，由数据库访问代理将其发给客户端。

本实施例中，在该***部署完毕投入使用前，数据库运行平台D已完成步骤S1，将数据库加密，并对解密密钥做密封存储操作。之后***进入正常工作状态。

本实施例中，***进入正常工作状态后，数据库访问步骤如图3所示，当用户通过客户端向数据库发送一个操作指令后，开始按以下步骤对数据库进行保护：

步骤S2，验证客户端所在运行平台的安全性，若安全则将用户的操作请求发送给数据库运行平台并转步骤S3，否则给出提示信息：

步骤S201，数据库访问代理收到客户端传来的用户操作指令和客户端所在运行平台的平台信息报文；

步骤S202，数据库访问代理将客户端所在运行平台的平台信息发送给远程证明平台；

步骤S203，数据库访问代理接收远程认证平台发来的验证结果，并根据结果进行判断，若客户端所在运行平台不安全则转步骤S204，若客户端所在运行平台安全则转步骤S205；

步骤S204，给出提示信息并返回报文接收状态；

步骤S205，将用户操作指令传输给数据库运行平台。

步骤S3，将密钥的密封存储值进行解封，若解封成功则解密数据库并完成用户操作，操作完成后将数据库加密保存，否则给出提示信息：

步骤S301，数据库操作模块收到数据库访问代理发来的用户操作指令后，将密钥的密封存储值发送给可信平台模块进行解封；

步骤S302，数据库操作模块收到解封结果并根据结果进行判断，若解封成功则转步骤S303，否则转S305；

步骤S303，利用解封出来的密钥将数据库解密，并完成用户的操作指令；

步骤S304，将数据库重新加密保存；

步骤S305，将反馈信息发送给数据库访问代理，并由数据库访问代理转发给用户；

以上所述为本发明的较佳实施例而已，但本发明不应该局限于该实施例和附图所公开的内容，因为我们预期未来的发展趋势，有可能密封存储的速度会有大的提升，这样的话，直接密封存储整个数据库也未尝不可，若如此，则步骤S1改为，将数据库密封存储，密封存储成功后删除数据库明文；步骤S3改为，将数据库的密封存储值进行解封，若解封成功则完成用户操作，操作完成后将数据库密封存储，否则给出提示信息。其中密封存储和解封运算的操作过程保持不变。

Claims (6)

1.一种轻量级数据库的安全保护方法，其特征在于：其步骤如下：

第1步：在数据库***提交用户前，将数据库加密存储于数据库运行平台，将密钥进行密封存储得到密钥的密封存储值，并将数据库所在运行平台处于安全可信状态下的软、硬件配置信息记录下来，作为今后对数据库所在运行平台进行安全性检验的依据；

第2步：在响应用户对数据库的操作请求前，先验证客户端所在运行平台的安全性，若安全验证通过则转第3步，否则给出提示信息并拒绝用户的操作请求；

第3步：在解密数据库、实施用户操作请求之前，先解封数据库的封存密钥，若解封成功说明数据库所在运行平台安全值得信任，得到密钥后对数据库进行解密并实施用户请求的操作，在操作完成后重新将数据库加密存储，若解封失败说明数据库所在运行平台的安全性不值得信任，得不到解密密钥无法解密数据库，则给出提示信息并拒绝用户的操作请求；

其中，第2步中，验证客户端所在运行平台安全性的具体步骤为：

(2.1)客户端将客户端所在运行平台的平台信息传给数据库访问代理；

(2.2)数据库访问代理将客户端所在运行平台的平台信息传给远程证明平台；

(2.3)远程证明平台依据客户端所在运行平台的平台信息对客户端进行安全性验证，并将验证结果传给数据库访问代理。

2.根据权利要求1所述的一种轻量级数据库的安全保护方法，其特征在于：第1步具体包括下述过程：

(1.1)获取一个随机数作为密钥；

(1.2)从数据库运行平台的可信平台模块中读取当前数据库运行平台软硬件环境的特征信息；

(1.3)将当前数据库运行平台软硬件环境的特征信息作为参数，通过可信平台模块将数据库解密密钥进行密封运算，得到密钥的密封存储值；

(1.4)对数据库进行加密，并将数据库明文删除。

3.根据权利要求1所述的一种轻量级数据库的安全保护方法，其特征在于，第3步中，数据库的解密步骤为：

(3.1)从数据库所在运行平台的可信平台模块中读取数据库所在运行平台的对应的特征信息；

(3.2)将数据库所在运行平台的特征信息作为参数，通过可信平台模块对密钥的密封存储值进行解封运算；若解封不成功，则给出提示信息，提示当前软硬件环境不满足要求；

(3.3)若解封成功，则用解封出的密钥对数据库进行解密。

4.根据权利要求1所述的一种轻量级数据库的安全保护方法，其特征在于：第1步中，可不采用加密数据库并对加密密钥做密封存储的方法，而是直接密封存储整个数据库；若如此，则第3步中，直接对数据库的密封存储值进行解封操作，若解封成功说明数据库所在运行平台安全值得信任，则实施用户请求的操作，在操作完成后重新将数据库密封存储，若解封失败说明数据库所在运行平台的安全性不值得信任，则给出提示信息并拒绝用户的操作请求。

5.根据权利要求2所述的一种轻量级数据库的安全保护方法，其特征在于：第(1.2)步中，当前运行环境的特征信息为下述信息中的任一项或任几项：操作***核心文件、***引导文件、***中的重要库文件、***中的重要应用程序的摘要信息，硬盘序列号，网卡MAC地址，及各种其他硬件、板卡的摘要信息。

6.根据权利要求2所述的一种轻量级数据库的安全保护方法，其特征在于：在步骤(1.4)结束后，所述密钥即销毁，其值不会逗留在内存或文件中，其内容信息只以被密封存储值的形式存在于硬盘中。