SQL Server ve veritabanı şifreleme anahtarları (Database Engine)

Şunlar için geçerlidir: SQL Server

SQL Server, bir sunucu veritabanında depolanan verilerin, kimlik bilgilerinin ve bağlantı bilgilerinin güvenliğini sağlamaya yardımcı olmak için şifreleme anahtarlarını kullanır. SQL Server'ın iki tür anahtarı vardır: simetrik ve asimetrik. Simetrik anahtarlar verileri şifrelemek ve şifresini çözmek için aynı parolayı kullanır. Asimetrik anahtarlar verileri şifrelemek için bir parola ( ortak anahtar olarak adlandırılır) ve verilerin şifresini çözmek için ( özel anahtar olarak adlandırılır) başka bir parola kullanır.

SQL Server'da şifreleme anahtarları, hassas verileri korumak için kullanılan genel, özel ve simetrik anahtarların bir bileşimini içerir. Simetrik anahtar, SQL Server örneğini ilk kez başlattığınızda SQL Server başlatması sırasında oluşturulur. SQL Server, SQL Server'da saklanan hassas verileri şifrelemek için anahtarı kullanır. İşletim sistemi halka açık ve özel anahtarları oluşturur ve bunlar simetrik anahtarı korur. Bir veritabanında hassas verileri depolayan her SQL Server örneği için bir ortak ve özel anahtar çifti oluşturulur.

SQL Server ve veritabanı anahtarları için uygulamalar

SQL Server'da anahtarlar için iki birincil uygulama vardır: SQL Server örneğinde ve üzerinde oluşturulan bir hizmet ana anahtarı (SMK) ve veritabanı için kullanılan veritabanı ana anahtarı (DMK).

Hizmet ana anahtarı

Hizmet ana anahtarı, SQL Server şifreleme hiyerarşisinin köküdür. SQL Server, SMK'yı instance ilk başladığında oluşturur ve her veritabanındaki bağlı sunucu şifrelerini, kimlik bilgilerini ve veritabanı ana anahtarını şifrelemek için kullanır.

SMK, yerel makine anahtarı veya Windows Veri Koruma API'si (DPAPI) kullanılarak şifrelenir. DPAPI, SQL Server hizmet hesabının Windows kimlik bilgilerinden türetilmiş bir anahtar kullanır. Anahtar her iki şekilde de korunduğundan, hizmet ana anahtarı, oluşturulduğu hizmet hesabı tarafından veya makine kimlik bilgilerine erişimi olan bir güvenlik sorumlusu tarafından açılabilir.

SQL Server, hizmet ana anahtarını ve veritabanı ana anahtarını korumak için AES şifreleme algoritmasını kullanır. AES, SQL Server 2012'den (11.x) önceki sürümlerde kullanılan 3DES algoritmasının yerini aldı. Database Engine'in bir örneğini önceki sürümlerden birinden yükselttikten sonra, ana şifreleme anahtarlarını AES'e yükseltmek için SMK ve DMK'yı yeniden oluşturun. SMK'yi yeniden oluşturma hakkında daha fazla bilgi için bkz ALTER SERVICEALTER SERVICE MASTER KEY . (Transact-SQL) ve ALTER MASTER KEY (Transact-SQL).

Veritabanı ana anahtarı

Veritabanı ana anahtarı, veritabanında bulunan sertifikaların ve asimetrik anahtarların özel anahtarlarını koruyan simetrik bir anahtardır. Ayrıca veriyi şifreleyebilir, ancak uzunluk sınırlamaları nedeniyle asimetrik anahtara kıyasla veri için daha az pratiktir. Veritabanı ana anahtarının otomatik şifre çözmesini etkinleştirmek için, anahtarın bir kopyası SMK kullanılarak şifrelenir. SQL Server, bu kopyayı hem anahtarın kullanıldığı veritabanında hem de master sistem veritabanında saklar.

Sistem veritabanında master saklanan DMK kopyası, DMK değiştiğinde sessizce güncellenir. Bu varsayılanı DROP ENCRYPTION BY SERVICE MASTER KEYALTER MASTER KEY (Transact-SQL) seçeneğini kullanarak değiştirebilirsiniz. Servis ana anahtarı tarafından şifrelenmeyen bir DMK, OPEN MASTER KEY (Transact-SQL) ve bir parola kullanılarak açılmalıdır.

SQL Server ve veritabanı anahtarlarının yönetimi

Şifreleme anahtarlarını yönetmek, yeni veritabanı anahtarları oluşturmayı, sunucu ve veritabanı anahtarlarını yedeklemeyi ve anahtarların ne zaman ve nasıl geri yükleneceğini, silineceğini veya değiştirileceğini bilmeyi içerir.

Simetrik anahtarları yönetmek için, SQL Server'da bulunan araçları kullanarak aşağıdaki görevleri gerçekleştirin:

  • Sunucu ve veritabanı anahtarlarının bir kopyasını yedekleyin; böylece bunları bir sunucu kurulumunu geri yüklemek veya planlanan bir geçişin parçası olarak kullanabilirsiniz.
  • Daha önce kaydedilmiş bir anahtarı veritabanına geri yükleyin. Anahtarı geri yüklemek, yeni bir sunucu örneğinin orijinal şifrelemediği mevcut verilere erişmesini sağlar.
  • Şifrelenmiş verilere artık erişemediğiniz nadir durumlarda, veritabanındaki şifrelenmiş verileri silin.
  • Anahtarların ele geçirilmesi ihtimalinde anahtarları yeniden oluşturun ve verileri yeniden şifreleyin. Güvenlik en iyi uygulaması olarak, anahtarları periyodik olarak, örneğin birkaç ayda bir, sunucuyu anahtarları çözmeye çalışan saldırılardan korumak için yeniden oluşturun.
  • Birden çok sunucunun hem tek bir veritabanını hem de bu veritabanı için geri döndürülebilir şifreleme sağlayan anahtarı paylaştığı bir sunucu ölçeği genişletme dağıtımına sunucu örneği ekleyin veya kaldırın.

Önemli güvenlik bilgileri

Hizmet ana anahtarı ile güvence altına alınan nesnelere erişmek için ya anahtarı oluşturmak için kullandığınız SQL Server servis hesabına ya da anahtarı oluşturduğunuz sisteme bağlı bilgisayar (makine) hesabına sahip olmanız gerekir. SQL Server servis hesabını veya bilgisayar hesabını anahtara erişimi kaybetmeden değiştirebilirsiniz. Ancak, her iki hesabı da değiştirirseniz, servis ana anahtarına erişiminizi kaybedersiniz. Bu iki elemandan biri olmadan servis ana anahtarına erişimi kaybederseniz, orijinal anahtarın şifrelediği verileri ve nesneleri çözemezsiniz.

Servis ana anahtarıyla güvence altına alınan bağlantıları o anahtar olmadan geri yükleyemezsiniz.

Veritabanı ana anahtarıyla güvence altına alınan nesnelere ve verilere erişmek için sadece anahtarı güvence altına alan şifreye ihtiyacınız var.

Dikkat

Bu makalede açıklanan anahtarlara tüm erişimi kaybederseniz, bu anahtarlarla korunan nesnelere, bağlantılara ve verilere erişimi de kaybedersiniz. Hizmet ana anahtarını, Hizmet ana anahtarını geri yükleme bölümünde açıklandığı gibi geri yükleyebilir veya erişimi kurtarmak için özgün şifreleme sistemine geri dönebilirsiniz. Erişimi geri kazanmak için arka yol yok.

İlgili içerik

  • Son güncelleştirme: