[cryptdb]2017/07/11--基于CryptDB的选择加密策略研究

##基于CryptDB的选择加密策略研究(张成果，杨庚，王伟)
### pre.摘要
由于CryptDB使用多个洋葱加密模型，需将数据加密成多份以适应不同的场景，对不敏感字段加密增加了计算时间以及存储空间。提出一种用户自定义的敏感字段检测算法，并且在原系统中创建和注册明文洋葱，修改元数据表，以及对自定义SQL语句的拦截和改写，实现选择加密策略。
### 0.引言
思科自防御云安全技术架构(SDC)  
三个方面的安全问题:
1)网络传输过程中数据不被非法截取
2)存储在第三方云服务器上的数据不被非法访问
3)用户在任何时候都能安全访问到自身的数据
### 1.相关工作
全同态加密算法，执行效率低，时间开销打，不具有实际得应用价值.
2011 MIT 人工智能实验室(CSAIL) CryptDB 对数据表全部字段进行加密后存储再数据库中，并且能够直接在密文上执行SQL操作
### 2.选择加密策略及实现
#### 2.1 CryptDB密文数据库系统
CryptDB设计了四种洋葱：
- DET洋葱(Onion Eq)
- OPE洋葱(Onion Ord)
- HOM洋葱(Onion Add)
- SEARCH洋葱(Onion Search)
插入一个字段得明文数据，经过Proxy的改写之后，会将其转化为上述的四个洋葱即四个字段，然后再保存到数据库中。
对数值，保存DET/OPE/HOM洋葱
对字符串，保存DET/OPE/SEARCH洋葱(实际没有search洋葱？)

CryptDB对于不同表，不同列，不同洋葱，不同的加密等级，使用的加密密钥K也各不相同。加密密钥K是由MK(保存在proxy中)计算得到。  
>$ K=PRP_{MK}(table t,column c,onion o,layer l)$

CryptDB对数据表中所有的字段进行加密，设一张表中有n个字段，每个字段可以表示成：
>$(attr_{i},enc_{i}),i属于[1,n],attr_{i}表示字段的属性值，enc_{i}表示是否加密true或者false$

#### 2.2 数据模型
>$M_{CryptDB} \subset  M_{sel__CryptDB} $

#### 2.3策略实现
- 用户自定义敏感字段检测
设计规则如下:
定义$S_{i}$为数据表中第i个字段的安全等级，$S_{i} \subset [0,1]$,然后按不同的数值将其分为几个安全等级(Insensitive/Low/Medium/High/Secret)，一个表中不同的字段基于不同的权重，权重归一化.
- 选择加密算法
  ![流程](https://leanote.com/api/file/getImage?fileId=59647843ab64412067001317)
<br/>

![伪代码](https://leanote.com/api/file/getImage?fileId=59647843ab64412067001318)

### 3 系统性能分析
- 对于数值型数据，DET OPE HOM
对于数值型数据，RND采用的是添加初始化向量IV的Blowfish算法；
DET采用的是Blowfish加密算法
DETJOIN采用的是基于椭圆加密ECC的ECJoin算法
- 对于字符型数据，DET OPE
对于字符型数据，RND采用的是带初始化向量IV(即salt值)处于CBC模式的AES加密算法，它能保证密文加密的随机性，即相同明文加密后密文也不相同；
DET采用初始向量相同的CMC模式(初始化向量都为0的CBC模式)AES加密算法，所以相同的明文加密后得到相同的密文

OPE采用mOPE加密算法；HOM采用Paillier加密算法

信息安全从业人员^_^

导航

最近发表

友情链接