В этой статье блога мы рассмотрим концепцию Always Encrypted в SQL Server и обсудим ее практичность и ограничения. Always Encrypted – это функция в SQL Server, которая позволяет шифровать конфиденциальные данные в покое и во время передачи, при этом позволяя приложению выполнять операции с данными.

При работе с Always Encrypted возникают определенные ограничения, которые вытекают естественным образом из логики работы с зашифрованными данными. Например, столбцы с зашифрованным текстом должны иметь сортировку BIN2, которая учитывает регистр. Это означает, что поиск по зашифрованным текстовым данным будет учитывать регистр, что может повлиять на возможность нахождения конкретных записей.

Чтобы преодолеть это ограничение, вам может потребоваться поддерживать копию данных в верхнем регистре для целей поиска или преобразовывать поисковые запросы в верхний регистр перед отправкой их в базу данных.

Кроме того, существуют определенные типы данных, которые нельзя зашифровать из-за практичности реализации шифрования. Эти ограничения можно найти в статье MSDN о Always Encrypted.

При создании таблицы с зашифрованными столбцами необходимо указать тип шифрования для каждого столбца. Детерминированное шифрование гарантирует, что зашифрованный результат будет одинаковым для заданного значения и ключа, в то время как случайное шифрование генерирует каждый раз разные зашифрованные результаты.

Важно отметить, что при случайном шифровании нельзя выполнять поиск или объединение по зашифрованному столбцу, так как SQL-движок знает только зашифрованное значение данных. Это ограничение необходимо для обеспечения безопасности зашифрованных данных.

Вставка данных в таблицу с зашифрованными столбцами требует дополнительных шагов. Вам необходимо включить шифрование столбцов для вашего подключения и использовать переменные или параметры в ваших запросах вместо литеральных значений. Это позволяет клиенту выполнить необходимое шифрование перед отправкой данных в базу данных.

Запрос данных, зашифрованных с помощью Always Encrypted, также имеет свои ограничения. Вы можете сравнивать только зашифрованные значения с использованием детерминированного шифрования, и сравнение с зашифрованными столбцами, использующими случайное шифрование, не поддерживается. Это связано с тем, что SQL-движок может сравнивать только зашифрованные значения и проверять их равенство.

Понимание ограничений Always Encrypted крайне важно при реализации этой функции. Важно тщательно рассмотреть, какие столбцы должны быть зашифрованы и как вам нужно взаимодействовать с ними в ваших запросах.

За кулисами Always Encrypted включает дополнительные шаги в клиентских библиотеках и взаимодействие с SQL Server. Клиент запрашивает информацию о любом шифровании, задействованном в запросе, и сервер возвращает информацию о ключах шифрования и схемах шифрования. Этот процесс добавляет некоторую нагрузку на запросы, но это необходимо для обеспечения безопасности зашифрованных данных.

Шифрование существующих данных в столбце – это не простая задача и требует процесса, который включает создание новой таблицы с нужными настройками шифрования, копирование данных из старой таблицы в новую, а затем удаление старой таблицы. Microsoft предоставляет инструменты, такие как Мастер импорта-экспорта SQL Server, для упрощения этого процесса.

Always Encrypted – это мощная функция в SQL Server, которая позволяет защитить конфиденциальные данные, при этом позволяя приложению работать с данными. Понимая ее ограничения и практичность, вы можете эффективно реализовать и использовать Always Encrypted в вашей среде SQL Server.