毕业设计（论文）密文数据库系统的设计.docVIP

密文数据库系统的设计 Design of Encrypted Database System 摘要：本文基于目前常用的PKI体系，在不改变数据库管理系统内部运行机制的前提下，通过程序逻辑实现了密文数据库，并在一定程度上保持了数据库原有的查询检索功能。为了保证密文数据在不解密的情况下能够被检索出来，日期、数字类型的数据需要按照一定的规则转换成字符，并且加密使用的分组密码算法需要进行一些改造。文章最后对密文数据库的密钥管理提出了一个建议性的解决方案。 关键词：密文数据库、密文检索、加密 Abstract：Based on PKI, without change of internal mechanism of database management system, the encrypted database system is set up only with technology of program logic, and the search and index function is reserved in the meantime. In order to enable query on ciphertext, date and numeric typed data must be transformed according some rules, and the grouping cipher arithmetic must be changed a little. A suggested solution is put forward about the management of encrypt key of encrypted database. Keyword：Encrypted Database, Query on Ciphertext, Encrypt 1．引言 目前，大型关系型数据库管理系统都具备一整套完善的安全管理手段，包括识别角色权限、访问控制、安全审计等功能。其中的角色权限管理已经相当完善，基本能够满足权限分配的需要；访问控制已经精确到字段级，达到关系型数据库管理的最小粒度。 尽管数据库管理系统本身的安全措施已经相当完备，但是仍然无法完全解决数据安全的需求。业务数据管理的安全层次与数据库管理系统的安全层次往往不一致，数据库管理系统中具有超级权限的管理员往往不具备业务数据管理的超级职能。数据安全不仅要抵抗来自网络黑客的安全威胁，还要防止来自网络内部，特别是数据库管理员的安全威胁，而目前的数据库管理系统安全体系，几乎不能对数据库管理员采取任何安全限制。若要满足业务数据的安全需要，必须在现有数据库管理系统之外，建立一套符合业务数据安全需要的新的安全体系，在新的安全体系中对数据库中的敏感数据进行加密处理，以阻断来自数据库管理员的安全威胁[1-5]。 2．加密原理 目前，数据加密常用的算法为对称算法，以DES、IDEA为代表，加密、解密采用相同的密钥，其优点是加密、解密速度快，缺点是密钥分发困难。实际应用中往往采用非对称算法协助分发对称算法密钥的策略，其中以RSA算法最为常用。RSA算法是PKI的基础核心，由于PKI的市场优势，选择RSA算法，系统部署会相对容易。 IDEA是一种分组密码算法，密钥长度为128位。加密时，首先将明文二进制数据以64位分组，用密钥与每个分组分别进行加密运算，每个分组产生64位密文数据，然后顺序合成密文。解密时，首先将密文二进制数据以64位分组，用密钥与每个分组分别进行解密运算，每个分组产生64位明文数据，然后顺序合成明文。 检索的目的是要从原文中查找特定的词，密文检索希望在不解密的情况下在密文中找到检索词在密文中的位置，由于原文在加密过程中经过了充分的混合和扩散，原文中的字、词都是与周围字、词一起加密的，这些字、词相互影响，与检索词单独加密形成的密文没有对应关系，因此，无法通过直接比对密文与检索词密文得到检索词的位置。 为了保证在密文数据在不解密的前提下被检索出来，必须保证相同的明文字加密后能够得到相同的密文。对于IDEA分组加密算法，如果密钥相同，完全相同的明文分组会得到相同的密文，不同分组内的明文，因为受周围其它字、词的影响，明文与密文完全没有对应关系。因此，保证密文检索的前提是，一个64位分组只处理一个明文字。如果明文以Unicode的形式编码，一个明文字对应2个字节，即16位二进制数，因此加密前首先要将这个16位二进制数转换成一个64位分组。转换的方式有多种，最简单的方式是：将1转换成1111，将0转换成0000，这样，每个64位分组就与一个明文字相对应。 检索时将查询词分解成单有字，将每个字转换成Unicode编码格式，然后将这些16位二进制数按照上面的办法转换