SQL Server 2008中的代码安全（四）：主密钥

在SQL Server 2008中，主密钥是确保数据安全和加密的重要机制，SQL Server 2008使用对称密钥、非对称密钥和数字证书来提供多层次的数据保护，本文将详细介绍服务器主密钥（Service Master Key，SMK）和数据库主密钥（Database Master Key，DMK），并探讨其作用、创建和管理方法。

服务器主密钥（Service Master Key，SMK）

服务器主密钥是SQL Server加密层次结构中最顶端的密钥，它在SQL Server安装时自动创建，该密钥用于加密一系列重要对象，如系统数据、链接服务器的登录名以及数据库主密钥，SMK使用SQL Server服务账户的Windows证书生成，这确保了加密的安全性，如果需要更换SQL Server服务账号，推荐使用SQL Server配置管理器，以确保加密层次结构的完整性和安全性。

主要功能

1、加密系统数据：SMK用于保护SQL Server内部的关键信息，确保这些信息不会被未经授权的用户访问。

2、加密链接服务器的登录名：通过加密链接服务器的登录名，SMK防止了网络攻击者窃取敏感信息。

3、加密数据库主密钥：每个数据库的主密钥都由SMK加密，从而确保只有拥有SMK的用户才能解密数据库主密钥及其保护的密钥。

数据库主密钥（Database Master Key，DMK）

数据库主密钥是一个对称密钥，用于保护数据库范围内的凭据中存在的证书和非对称密钥的私钥和机密，创建DMK时，会使用AES_256算法以及用户提供的密码进行加密，在SQL Server 2008 (10.0.x) 和 SQL Server 2008 R2 (10.50.x) 中使用三重DES算法。

主要功能

1、保护证书和非对称密钥：DMK主要用于加密数据库内的证书、非对称密钥和对称密钥。

2、自动解密功能：若要启用DMK的自动解密功能，可使用服务主密钥对该主密钥的副本进行加密，并将副本存储在数据库和master中，每当DMK更改时，都会在不进行提示的情况下更新存储在master中的副本。

管理主密钥

创建和管理服务器主密钥

1、创建SMK：在SQL Server安装时，SMK会自动创建，无需手动操作。

2、更换服务账号：如果需要更换SQL Server服务账号，推荐使用SQL Server配置管理器，以确保加密层次结构的完整性和安全性。

创建和管理数据库主密钥

1、创建DMK：可以使用以下SQL命令创建DMK：

    CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'StrongPassword!';

2、启用自动解密功能：使用服务主密钥对DMK的副本进行加密，并将副本存储在数据库和master中：

    ALTER MASTER KEY ADD ENCRYPTION BY SERVICE MASTER KEY;

3、删除服务主密钥加密：若要更改默认行为，可以使用以下命令：

    ALTER MASTER KEY DROP ENCRYPTION BY SERVICE MASTER KEY;

示例与实践

以下是一些实际操作示例，展示了如何创建和管理主密钥：

创建数据库主密钥

 CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'MyStrongPassword!';

启用自动解密功能

 ALTER MASTER KEY ADD ENCRYPTION BY SERVICE MASTER KEY;

删除服务主密钥加密

 ALTER MASTER KEY DROP ENCRYPTION BY SERVICE MASTER KEY;

FAQs

Q1: 如何在SQL Server 2008中创建数据库主密钥？

A1: 在SQL Server 2008中，可以通过以下命令创建数据库主密钥：

 CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'StrongPassword!';

Q2: 如何启用数据库主密钥的自动解密功能？

A2: 要启用数据库主密钥的自动解密功能，可以使用服务主密钥对该主密钥的副本进行加密，并将副本存储在数据库和master中：

 ALTER MASTER KEY ADD ENCRYPTION BY SERVICE MASTER KEY;