日志加密技术是保护信息安全的重要手段之一，它能够在日志数据存储或传输过程中，通过加密算法对数据进行保护，防止未经授权的访问和数据泄露。以下是三种常见的日志加密技术的比较分析。
前置代理及加密网关技术
前置代理及加密网关技术是在数据库之前增加一道安全代理服务，对数据库访问的用户必须经过该安全代理服务，在此服务中实现如数据加解密、存取控制等安全策略。这种技术可以有效解决数据库明文存储引起的泄密风险，但同时也存在一些问题和限制：
- 一致性问题：由于安全增强代理需要存储加密数据，因此需要解决与数据库存储数据的一致性问题，这在实践中基本不可实现。
- 数据检索问题：由于在数据库内外都存在数据，这些数据的联合检索将变得很困难，SQL语法的完全兼容也非常困难。
- 透明性问题：数据库协议虽然存在标准，但事实上每个不同的数据库版本都会进行若干变更、扩展和增强，使用了这些特性的用户必须进行改造。同时在安全代理中对数据库通讯协议的模拟非常困难。
- 性能问题：数据库的优化处理、事务处理、并发处理等特性都无法使用，查询分析、优化处理、事务处理、并发处理工作都需要在安全增强器中完成，无法使用数据库在并发处理和查询优化上的优势，系统的性能和稳定性更多地依赖于安全代理。
应用层加密技术
应用层加密的主要技术原理在于，应用系统通过加密API（JDBC, ODBC, CAPI等）对敏感数据进行加密，将加密数据存储到数据库的底层文件中；在进行数据检索时，将密文数据取回客户端，再进行解密：
- 编程复杂度：应用程序必须对数据进行加解密，增加编程复杂度，并且无法对现有的系统做到透明，应用程序必须进行大规模的改造。
- 性能问题：这种技术方案无法利用数据库的索引机制，加密后数据的检索性能将产生大幅度下降。
基于视图和触发器的后置代理技术
基于视图和触发器的后置代理技术使用“视图”+“触发器”+“扩展索引”+“外部调用”的方式实现数据加密，同时保证应用完全透明：
- 透明性：通过视图实现加密数据透明查询处理，通过触发器实现数据的加密插入和更新处理。
- 效率问题：通过数据库的扩展索引接口实现加密索引，以Oracle数据库为例，在Oracle Data Cartridge的索引扩展机制提供了一套现成的框架，可以自行定义索引并实现Operator，自行编写索引在CreateIndex、Insert、Delete、Update语句执行、以及ScanIndex发生时的相应处理代码。通过该机制，可以使用自定义的扩展加密索引，这样当使用该索引对加密数据进行检索时，可以进行正常的排序及比较，这也就解决了加密后数据检索的难题，大幅度提升了密文检索的效率。
- 权限控制：通过外部接口调用实现独立于数据库的权限控制和国产加密算法，在数据库中支持外部程序调用，只要定义好通讯接口即可。那么这种方案可以将加密函数和解密函数做成外部调用，这样不仅可以在外部调用国产加密设备的加密算法，还可以将权限校验过程放在数据库之外完成，确保了对超级用户的权限限制。
综上所述，虽然每种日志加密技术都有其独特的优势和局限性，但从综合性能、透明性和安全性角度来看，基于视图和触发器的后置代理技术似乎更胜一筹。它不仅能够提供透明的数据访问处理，还能通过扩展索引机制大幅提升密文检索效率，并且能够有效地实现独立于数据库的权限控制。然而，具体选择哪种技术还需要根据实际应用场景、系统需求和技术资源等因素综合考虑。
原创文章，作者：Ur47000，如若转载，请注明出处：https://wyc.retuba.cn/28628.html
