Pesquisa personalizada

O SQL Server 2005 ganhou novos recursos para criptografia de dados, melhorando a capacidade de proteção dos dados.

Para que seja realizada a criptografia de dados é necessário criar chaves para criptografia. Essas chaves ficarão armazenadas dentro do banco de dados.

As chaves de criptografia precisarão elas próprias estarem criptografadas. A criptografia de uma chave pode ser feita por um certificado digital, que também é criado e armazenado na base de dados, ou por meio de uma senha que é atribuida a cada chave.

O uso de um certificado para a criptografia das chaves evita a necessidade de atribuir uma senha para cada chave, funciona como uma forma de agrupamento de chaves.

O certificado pode ser um certificado digital auto-gerado pelo SQL Server ou um certificado digital importado de outra origem para o SQL Server. Você pode, por exemplo, importar um certificado digital gerado por uma entidade certificadora.

O certificado digital auto-gerado também precisa ser criptografado. Podemos fazer isso atribuindo uma senha para o certificado digital ou utilizando a masterKey do banco de dados para criptografar o certificado digital.

Esta estrutura hierárquica (masterKey->Certificado->Chaves) gera maior segurança para a base de dados, fazendo com que uma única senha, a senha da masterKey, tenha o controle sobre toda a criptografia.

Para compreender melhor toda essa estrutura, vamos testar, passo a passo, a criptografia do nome do produto (productName) da tabela products do NorthWind.

1o Passo : Criar a master key com uma senha

CREATE MASTER KEY ENCRYPTION BY PASSWORD = '23987hxJ#KL95234nl0zBe';

2o Passo : Criar o certificado digital

CREATE CERTIFICATE Produtos
WITH SUBJECT = 'CertificadoProdutos'

Sem o uso da masterKey seria necessário atribuir uma senha

3o Passo : Criar a chave

create symmetric key sk_produtos with algorithm = Triple_DES encryption
by certificate produtos;

Da mesma forma, sem o uso do certificado seria necessário incluir uma senha

4o Passo : Incluir uma coluna para a criptografia

alter table products add ProductEnc varbinary(300)

Estamos trabalhando com uma alteração de dados existentes. Observe que a coluna que irá receber os dados criptografados precisa ser do tipo VarBinary.

5o Passo : Abrir a chave

Para criptografar e descriptografar precisamos fazer o que é chamado de "Abrir" a chave de criptografia.

Open Symmetric key sk_Produtos decryption by certificate produtos

Se tivessemos utilizado uma senha, sempre que utilizassemos o Open teriamos que indicar a senha. Sua senha acabaria ficando espalhada através das aplicações.

6o Passo : Criptografar os dados

Update products set productEnc=encryptbykey(key_guid('sk_produtos'),productname)

Neste ponto é feita a atualização da nova coluna aplicando-se a função encryptbykey.

Existe ainda uma opção de aumentar ainda mais a segurança fazendo o vinculo da informação criptografada com um campo da tabela, em geral a chave primária.

É feito então o calculo de um hash e adicionado aos dados criptografados. Para que a descriptografia seja feita corretamente, o mesmo valor deverá ser informado no momento da descriptografia. Com isso a informação criptografada fica sempre ligada ao registro, precisando ser informado o ID do registro para que a descriptografia seja realizada.

Veja a criptografia com o autenticador :

Update products set productEnc=encryptbykey(key_guid('sk_produtos'),productname,1,productid)

7o Passo : Teste o resultado

select * from products

Você verá os dados em binário, criptografados.

8o Passo : Teste a descriptografia

select productid,
convert(nvarchar, decryptbykey(productenc)) as Produto
from products

Neste exemplo utilizamos a função decryptbykey para descriptografar as informações.

Observe que é necessário converter a informação de volta para o seu tipo de dados original para que seja legível. No nosso exemplo, nvarchar.

Caso tivessemos utilizado uma chave adicional, como citei anteriormente, teríamos que novamente utiliza-la na descriptografia.

Veja a descriptografia com o autenticador :

select productid,
convert(nvarchar, decryptbykey(productenc,1,productid)) as Produto
from products

9o Passo : Crie uma view e simplifique tudo

Para evitar a necessidade de abrir a chave de criptografia, podemos utilizar a função decryptbykeyautocert em uma view. Esta função irá fazer a abertura da chave de criptografia automaticamente - ou retornar um valor alternativo caso não consiga.

create view Produtos
as
select productid,
convert(nvarchar, decryptbykeyautocert(cert_id('produtos'),null,productenc)) as Produto
from products

Observe o valor alternativo que foi indicado - null - este valor será exibido caso o usuário não possa por algum motivo acessar o certificado de produtos.

Atribuindo Acesso

Experimente criar um usuário novo, com permissão de leitura na base de dados. Faça um select na view e verá que este usuário não consegue visualizar os dados.

Atribua permissões a este usuário para acessar a chave de criptografia e o certificado. O usuário passará imediatamente a visualizar os dados.

Veja um passo a passo para isso :

Na aba security, crie um novo login UsuarioTeste utilizando sql server authentication

Em User Mappings, ligue o usuário com o banco Northwind, role db_datareader

Clique no botão change connection (toolbox superior, a esquerda) e se conecte como UsuarioTeste

Faça um Select na view Produtos

Na aba security do banco northwind, clique em propriedades do UsuarioTeste

Clique em securables, Add, Specific Objects

Clique em object Types e selecione Symmetric Keys e Certificates

Clique em browse e selecione os 2 objetos que irão aparecer, Produtos e sk_Produtos

Defina as permissões em cada um como control, references e view definitions

Faça novamente o select na view produtos, desta vez o usuário conseguirá visualizar os dados.

Conclusão

Com estes recursos você pode criptografar dados críticos em sua base de dados, tal como valores de salários e números de cartões de crédito e determinar, através das permissões nas chaves e certificados, quem poderá fazer a descriptografia.

::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::
Conheça mais sobre o nosso site :

• Visite nossa área de artigos técnicos
• Conheça nossas dicas técnicas (mais de 300 dicas)
• Conheça nosso fórum de discussões
• Conheça nossa área de download com muitos componentes e códigos úteis
• Conheça nosso treinamento de lógica de programação on-line
• Conheça nossa prova de certificação em VB (oferecemos certificado aos aprovados)

::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::