Каков наилучший способ зашифровать clob?
-
01-07-2019 - |
Вопрос
Я использую Oracle 9 и JDBC и хотел бы зашифровать clob по мере его вставки в базу данных.В идеале я хотел бы иметь возможность просто вставить открытый текст и зашифровать его с помощью хранимой процедуры:
String SQL = "INSERT INTO table (ID, VALUE) values (?, encrypt(?))";
PreparedStatement ps = connection.prepareStatement(SQL);
ps.setInt(id);
ps.setString(plaintext);
ps.executeUpdate();
Ожидается, что объем открытого текста не превысит 4000 символов, но при шифровании текст становится длиннее.Наш текущий подход к шифрованию использует dbms_obfuscation_toolkit.DESEncrypt() но мы обрабатываем только переменные.Сработает ли следующее?
FUNCTION encrypt(p_clob IN CLOB) RETURN CLOB
IS
encrypted_string CLOB;
v_string CLOB;
BEGIN
dbms_lob.createtemporary(encrypted_string, TRUE);
v_string := p_clob;
dbms_obfuscation_toolkit.DESEncrypt(
input_string => v_string,
key_string => key_string,
encrypted_string => encrypted_string );
RETURN UTL_RAW.CAST_TO_RAW(encrypted_string);
END;
Меня смущает этот временный сбой;нужно ли мне закрыть его?Или я совсем сбился с пути?
Редактировать:Цель обфускации - предотвратить тривиальный доступ к данным.Моя другая цель - запутать clobs таким же образом, каким мы уже запутываем столбцы varchar.Пример кода oracle не имеет дела с clobs, в чем и заключается моя конкретная проблема;шифрование переменных (размером менее 2000 символов) несложно.
Решение
Я отмечаю, что вы используете Oracle 9, но просто для справки, в Oracle 10g + dbms_obfuscation_toolkit устарел в пользу dbms_crypto.
dbms_crypto включает ли поддержку CLOB:
DBMS_CRYPTO.ENCRYPT(
dst IN OUT NOCOPY BLOB,
src IN CLOB CHARACTER SET ANY_CS,
typ IN PLS_INTEGER,
key IN RAW,
iv IN RAW DEFAULT NULL);
DBMS_CRYPT.DECRYPT(
dst IN OUT NOCOPY CLOB CHARACTER SET ANY_CS,
src IN BLOB,
typ IN PLS_INTEGER,
key IN RAW,
iv IN RAW DEFAULT NULL);
Другие советы
В документации Oracle есть пример:
http://download.oracle.com/docs/cd/B10501_01/appdev.920/a96612/d_obtoo2.htm
Вам не нужно закрывать его
DECLARE
input_string VARCHAR2(16) := 'tigertigertigert';
raw_input RAW(128) := UTL_RAW.CAST_TO_RAW(input_string);
key_string VARCHAR2(8) := 'scottsco';
raw_key RAW(128) := UTL_RAW.CAST_TO_RAW(key_string);
encrypted_raw RAW(2048);
encrypted_string VARCHAR2(2048);
decrypted_raw RAW(2048);
decrypted_string VARCHAR2(2048);
error_in_input_buffer_length EXCEPTION;
PRAGMA EXCEPTION_INIT(error_in_input_buffer_length, -28232);
INPUT_BUFFER_LENGTH_ERR_MSG VARCHAR2(100) :=
'*** DES INPUT BUFFER NOT A MULTIPLE OF 8 BYTES - IGNORING
EXCEPTION ***';
double_encrypt_not_permitted EXCEPTION;
PRAGMA EXCEPTION_INIT(double_encrypt_not_permitted, -28233);
DOUBLE_ENCRYPTION_ERR_MSG VARCHAR2(100) :=
'*** CANNOT DOUBLE ENCRYPT DATA - IGNORING EXCEPTION ***';
-- 1. Begin testing raw data encryption and decryption
BEGIN
dbms_output.put_line('> ========= BEGIN TEST RAW DATA =========');
dbms_output.put_line('> Raw input : ' ||
UTL_RAW.CAST_TO_VARCHAR2(raw_input));
BEGIN
dbms_obfuscation_toolkit.DESEncrypt(input => raw_input,
key => raw_key, encrypted_data => encrypted_raw );
dbms_output.put_line('> encrypted hex value : ' ||
rawtohex(encrypted_raw));
dbms_obfuscation_toolkit.DESDecrypt(input => encrypted_raw,
key => raw_key, decrypted_data => decrypted_raw);
dbms_output.put_line('> Decrypted raw output : ' ||
UTL_RAW.CAST_TO_VARCHAR2(decrypted_raw));
dbms_output.put_line('> ');
if UTL_RAW.CAST_TO_VARCHAR2(raw_input) =
UTL_RAW.CAST_TO_VARCHAR2(decrypted_raw) THEN
dbms_output.put_line('> Raw DES Encyption and Decryption successful');
END if;
EXCEPTION
WHEN error_in_input_buffer_length THEN
dbms_output.put_line('> ' || INPUT_BUFFER_LENGTH_ERR_MSG);
END;
dbms_output.put_line('> ');
Немного не по теме:В чем смысл шифрования / запутывания в первую очередь?Злоумышленник, имеющий доступ к вашей базе данных, сможет получить открытый текст - обнаружение вышеупомянутой хранимой процедуры позволит злоумышленнику выполнить расшифровку.