老旧系统怎么加密改造

老旧系统的加密改造需要兼顾现有架构兼容性、业务连续性、改造成本和数据安全，不能照搬新系统的方案。下面按“先评估 → 选方案 → 分步实施 → 避坑”的逻辑给你一套可落地思路。

一、先做现状评估（很关键）

改造前必须搞清楚：

1. 数据类型
   • 库中敏感数据：身份证、手机号、密码、财务数据
   • 传输数据：HTTP 接口、内部 RPC、文件交换
2. 系统边界
   • 是否对外网暴露
   • 是否与其他老系统/外部系统对接
3. 技术栈限制
   • 语言（Java / C# / PB / Delphi / Cobol）
   • 数据库（Oracle / SQL Server / MySQL / DB2）
   • 是否支持现代加密库
4. 合规要求
   • 等保2.0、密评、GDPR、行业监管

二、常见改造方案（由轻到重）

方案1：传输层加密（最优先、最省事）

适合： 接口明文、内网不安全

• HTTP → HTTPS（Nginx / 负载均衡终止SSL）
• 内部通信 → TLS / mTLS
• 文件传输 → SFTP / 加密压缩包

✅ 几乎不改业务代码
❌ 数据落盘仍是明文

方案2：数据库透明加密（TDE）

适合： 防磁盘/备份泄露

• Oracle / SQL Server 自带 TDE
• MySQL 企业版或基于卷加密（LUKS）

✅ 应用无感知
❌ 防不了DBA和SQL注入

方案3：应用层字段加密（主流方案）

适合： 强合规、敏感字段保护

做法：

• 在 DAO / 中间件层做加解密
• 对称加密（AES-256-GCM）
• 密钥放 KMS / 配置中心

示例分层：

业务代码 → 加密拦截器 → DB

✅ 粒度可控
❌ 老代码侵入、检索难（需密文索引）

方案4：代理 / 网关加密（不改老系统）

适合： 完全不敢动核心代码

• 数据库代理（如 ProxySQL + 加密插件）
• API 网关统一加解密
• 外挂加密服务

✅ 老系统零改动
❌ 性能 & 运维复杂

方案5：全盘替换（最后手段）

只适合：

• 系统已无维护价值
• 合规高压

三、密钥管理（容易被忽视）

再好的加密，密钥乱放 = 没加密

• 用 KMS（云或硬件 HSM）
• 禁止硬编码密钥
• 支持密钥轮换

四、老旧系统特别注意事项

1. 不要全库加密，先加密高敏感字段
2. 兼容老接口：老系统可能不支持长字段（密文变长）
3. 检索问题：
   • 精确查询：明文哈希索引
   • 模糊查询：分词 + 加密
4. 灰度迁移：
   • 老数据先加密回填
   • 双写过渡期

五、推荐落地顺序

1. 传输加密（1周）
2. 数据库TDE（1–2周）
3. 核心字段应用加密（按模块）
4. 上 KMS
5. 密评整改

如果你愿意，可以告诉我：

• 系统语言 / 数据库
• 是否上云
• 是等保还是密评驱动

我可以直接给你针对性改造方案或示例代码。