Ubuntu 上 Informix 数据加密与解密实践
一 内置函数快速上手
- 支持的算法与函数：对称加密使用 ENCRYPT_AES（AES）与 ENCRYPT_TDES（3DES）；解密使用 DECRYPT_CHAR（返回字符型明文）与 DECRYPT_BINARY（返回二进制明文）。可在 DML 或 EXECUTE FUNCTION 中调用。
- 关键参数：
- password：口令，长度 6–128 字节；若未显式传入，使用会话口令（由 SET ENCRYPTION 设置）。
- hint：口令提示，最多 32 字节。
- 基本用法示例：
- 加密列并更新表
- 示例将表 t1 的 col 列加密存储为 c_col（二进制）：
- UPDATE t1 SET c_col = ENCRYPT_AES(col, ‘My$ecretPwd’);
- 如需字符型密文：
- UPDATE t1 SET c_col = ENCRYPT_AES(col, ‘My$ecretPwd’, ‘hint1’);
- 解密查询
- 二进制密文：
- SELECT DECRYPT_BINARY(c_col, ‘My$ecretPwd’) FROM t1;
- 字符型密文：
- SELECT DECRYPT_CHAR(c_col, ‘My$ecretPwd’, ‘hint1’) FROM t1;
- 直接函数调用：
- EXECUTE FUNCTION DECRYPT_CHAR(ENCRYPT_AES(‘Hello, 世界’, ‘Pwd123!’), ‘Pwd123!’);
- 重要限制与性能提示：
- 加密/解密会显著拖慢所在 SQL 语句的执行，但不影响其他并发语句。
- 不要将加密列作为 索引键 或参与 约束（如唯一、检查），否则约束与索引无法有效使用。
- 不要加密 IDSSECURITYLABEL 类型的列。
- 分布式操作中，所有参与的数据库服务器需支持相同（或等效）的加解密函数；若网络不安全，需启用 ENCCSM 以避免口令以明文传输。
二 密钥与口令管理建议
- 口令强度与保管：使用 6–128 字节 的高熵口令，妥善保存；为减少应用层泄露风险，建议通过 SET ENCRYPTION 在会话层统一管理口令，避免在代码中反复明文传递。
- 提示信息：通过 hint（≤32 字节）为运维提供口令线索，但 hint 不是安全凭据。
- 应用架构建议：优先采用“应用传入口令 → SQL 函数加解密”的方式；如需更高安全等级，可在应用侧使用密钥派生（如 PBKDF2、Argon2）后再传入数据库，避免口令直接复用。
三 传输层加密与高可用场景
- 客户端/服务器通信：当网络不可信时，启用 ENCCSM 模块以加密客户端与服务器之间的通信，防止口令与数据在网络中以明文传输。
- HDR 主备链路加密：
- 需为 HDR 与 CSM 分别配置两个网络端口；在 HDR 对的两台服务器上设置一致的加密参数：ENCRYPT_HDR=1、ENCRYPT_CIPHERS、ENCRYPT_MAC、ENCRYPT_SWITCH；ENCRYPT_MACFILE 路径可不同但文件内需包含相同的 MAC 密钥。
- 可更新辅助服务器到主服务器的流量需启用 SMX 加密（设置 ENCRYPT_SMX）。
- 加密后可能需要更大的网络缓冲区。
- 注意：不能为同一连接同时启用 HDR 加密 与 CSM 客户/服务器加密。
四 文件与磁盘级加密的配套方案
- 操作系统层文件/目录加密：
- 使用 GPG 进行文件/目录的公私钥加密（适合小文件、备份、交换）：
- 生成密钥：gpg --gen-key
- 加密：gpg -e -r recipient@example.com file.txt
- 解密：gpg -d file.txt.gpg > file.txt
- 使用 OpenSSL 进行对称加密（适合脚本化批量处理）：
- 加密：openssl enc -aes-256-cbc -salt -in file -out file.enc
- 解密：openssl enc -aes-256-cbc -d -in file.enc -out file
- 磁盘/分区级加密：
- 使用 LUKS 对整个分区或磁盘进行加密（适合数据库数据目录、日志目录所在磁盘）：
- 创建：sudo cryptsetup luksFormat /dev/sdX
- 打开：sudo cryptsetup luksOpen /dev/sdX encrypted_vol
- 格式化与挂载：sudo mkfs.ext4 /dev/mapper/encrypted_vol && sudo mount /dev/mapper/encrypted_vol /mnt/enc
- 适用场景：上述方案适合保护数据库备份、传输包、宿主机磁盘等，与数据库内置列级加密互补，构建纵深防御。
