SQL Server SSL + TDE与始终加密

Question

使用SQL Server SSL（连接字符串中为Encrypted = true）+ TDE与使用SQL Server Always Encrypted有什么区别？

就RGPD而言，一个比另一个更适应吗？

Answer 1

始终存在加密不仅可以解决确保数据在传输过程中被加密的问题。实际上，这甚至不是始终加密解决的主要问题。

始终加密解决的主要问题是使用透明数据加密（TDE），保护加密数据的密钥和证书本身存储在数据库中。考虑将其SQL Server数据库放置在云中，因为云提供商最终才拥有解密数据的秘密。

在始终加密的情况下，用于加密/解密列数据的列加密密钥（CEK）以其加密形式存储在数据库中。但这是关键-用于对CEK进行加密/解密的密钥存储在数据库外部，使数据库无法自行解密数据。

数据库所能做的就是

1. 提供加密的CEK，
2. 提供CMK的位置，并且
3. 提供/存储预加密的数据。

由客户端决定是否从位于任何地方的密钥/证书存储中获取列主密钥（CMK），然后使用CMK解密CEK，然后使用解密的CEK加密/解密数据。

这就是概念上的区别。这里有几个页面详细介绍了它：

• Overview of Key Management for Always Encrypted（Microsoft文档）
• SQL Server Encryption: Always Encrypted（Redgate文章）

哦-并且“始终加密”在查询数据和其他方面有一些严重的缺点。如果您对此感兴趣，this article会列出很多不错的限制。