[發明專利]一種基于SGX的通用數據庫的數據保護系統及方法

有效

• 申請號: 201710621204.0
• 申請日: 2017-07-27
• 公開（公告）號: CN107506659B
• 公開（公告）日: 2020-04-07
• 發明（設計）人: 王永智;沈玉龍;馬佳文;劉靈通;蘇翠翠;楊宜博
• 申請（專利權）人: 西安電子科技大學
• 主分類號: G06F21/62
• 分類號: G06F21/62;G06F21/64;H04L9/08
• 代理公司: 西安長和專利代理有限公司 61227
• 代理人: 黃偉洪

本發明屬于數據庫技術領域，公開了一種基于SGX的通用數據庫的數據保護系統及方法，包括初始化階段和執行階段。初始化階段包括：遠程認證及密鑰共享；應用向數據庫引擎發送其數據密鑰以及ID；使用共享密鑰加密；根據應用程序的ID選擇正確的數據密鑰；執行階段包括：應用對數據引擎發送數據庫請求；數據庫引擎中根據接收ID查找秘鑰；數據庫引擎驗證所發消息的完整性；消息解密；驗證數據庫文件完整性；在enclave中以明文執行請求語句；執行結果加密返回應用；數據庫表及表MAC值更新。本發明保護了數據庫的數據機密性及數據完整性。在多應用環境下，對于不支持用戶隔離和訪問控制的輕量級數據庫，本發明依然可實現數據機密性和數據完整性的保護。

技術領域

本發明屬于數據庫技術領域，尤其涉及一種基于SGX的通用數據庫的數據保護方法，保護了多應用程序場景下應用程序的數據機密性，及數據完整性，保護了應用程序數據不受外部攻擊者、惡意數據庫管理員和惡意應用程序的惡意攻擊和篡改。對于不支持用戶隔離和訪問控制的輕量級數據庫，本發明依然可實現對數據機密性和數據完整性的保護。

背景技術

數據庫是現代計算系統中的重要組成部分。特別是處在惡意軟件和網絡攻擊猖獗的時代，數據庫安全成為需要解決的一個重要問題。數據庫的存儲安全問題，敏感數據的防竊取和防篡改問題越來越引起人們的重視。業內簡單使用對稱加密方案加密數據表，在解決方案中，數據處理仍然需要以明文形式執行，使數據裸露在外。在密文中實現數據操作，利用多重加密方案，提出的系統幾乎不能實現數據的密文操作，所以不能提供嚴格的安全保證，通常可能會被某些特定的攻擊者所影響。例如在CryptDB這個公開的項目中，通過組合不同的加密方案來保證MySQL數據的機密性，這些加密方案包括確定性加密(DET)，訂單保留加密(OPE)，部分同態加密(PHE)等。特權保留加密方案(例如 DET和OPE)為攻擊者提供了一個線索，使他們能夠將加密數據恢復為明文，甚至已經有人對CryptDB中加密的數據進行了明文恢復。

綜上所述，現有技術存在的問題是：目前保證安全的加密方案存在以下問題：不能提供嚴格的安全保護；不支持原有的很多計算功能；單純基于密碼學的方法性能較差。

發明內容

針對現有技術存在的問題，本發明提供了一種基于SGX的通用數據庫的數據保護系統及方法。

本發明是這樣實現的，一種基于SGX的通用數據庫的數據保護方法，所述基于SGX的通用數據庫的數據保護方法包括：初始化階段和執行階段；

所述初始化階段具體包括：

步驟一，遠程認證及密鑰共享；

步驟二，應用程序將向數據庫引擎發送數據密鑰及其ID：IDi；并使用共享密鑰sk進行加密，sk是步驟一中SGX遠程認證(基于DH交換的協議)后生成的共享密鑰，加密方法要求使用sk進行的對稱加密即可；

步驟三，數據庫引擎在接收到ID_i和k_i后將其進行記錄。

所述執行階段包括：

步驟一，應用i使用k_i計算即將發送的消息E_ki(SQL Stmts)||ID_i的消息驗證碼MAC_i(使用主流MAC計算方法均可)。

步驟二，應用i將消息E_ki(SQL Stmts)||ID_i以及MAC_i發送到數據庫引擎；

步驟三，在數據庫引擎中，它將根據接收的ID_i查找秘鑰k_i；