身份证号还在明文存储？一文读懂十大存储加密技术！

图1：数据安全的“一实战、双合规”需求

数据存储加密防护的难点，在于如何对流转中的数据主动实施加密等保护，确保数据不被泄露或篡改，这里的数据包括结构化与非结构化等类型。结构化数据一般是指可以使用关系型数据库存储和表示，表现为二维形式的数据，一般来讲，结构化数据也就是传统数据库中的数据形式；非结构化数据，就是指没有固定结构的数据，包括各种文档、图片、视频、音频等。

传统的“数据库加密”往往体现为密文数据存储到数据库后的情形，一般局限于结构化数据，而在企业实战化场景中，数据库只是数据处理的一个环节，因此，传统的“数据库存储加密”只是“数据存储加密”的子集。

部署位置：数据库

UDF用户自定义函数加密，作为一种在数据库侧的高灵活加解密集成方式，适用于某些数据库需要定制加解密的场景，尤其是实现基于国密算法的数据加解密。

1、扩展能力强。该加密技术适用于对数据有“定制化实现”的场景化需求，能够根据用户的业务需求，对数据实现丰富多样的加解密处理。

1、通用性低。该加密技术需要根据不同数据库的类型，做相对应的定制化实现，并且在存储过程或SQL中加以调用。

原理：透明文件加密（Transparent File Encryption，简称为TFE），是在操作系统的文件管理子系统上部署加密插件来实现数据加密，基于用户态与内核态交付，可实现“逐文件逐密钥”加密。在正常使用时，计算机内存中的文件以明文形式存在，而硬盘上保存的数据是密文，如果没有合法的使用身份、访问权限以及正确的安全通道，加密文件都将以密文状态被保护。

透明文件加密技术几乎可以适用于任何基于文件系统的数据存储加密需求，尤其是原生不支持透明数据加密的数据库系统。但是，由于文件系统加密技术无法提供针对数据库用户的增强权限控制，因此对于需要防范内部数据库超级用户的场景并不适用。

1、可对应用进程授权。透明文件加密的防护颗粒度较细，可以适用于对应用进程有绑定需求的场景，只有授权的“白名单”应用进程访问文件时，才能获得明文，而未授权应用只能获取密文。