深度揭秘Greenplum开源数据库 透明加密 Greenplum 研发工程师 王淏舟 1. 我们所面临的问题 2. 基于pgcypto的数据加密方案 3. GPDB数据透明加密方案设计 4. GPDB数据透明加解密流程 5. 总结 我们所面临的问题 什么是Greenplum数据库 一款开源的HTAP数据库: • MPP架构 • 完整的事务+ACID+标准SQL支持 • 支持上千个节点的部署 GPDB的数据安全 数据需要加密 • 机密数据 • 知识产权保护 • 审计要求 用户数据存在直接暴露的风险 • 非部门员工运维（原厂，主机厂或者合作伙伴） • 事后审计难度很大 • 服务器数据被盗（托管或云部署） 用户的问题 现有解决方案 基于操作的系统的硬盘加密 • 只能防范服务器硬盘被盗 • 对运维安全无能为力 基于pgcypto的加密 • 可以满足数据安全要求 • 非原生方案 • 问题很多 基于pgcypto的数据加密方案 pgcypto Postgresql社区提供的一款简单加密插件 • https://www.postgresql.org/docs/13/pgcrypto.html • https://github.com/greenplum-db/gpdb/tree/master/contrib/pgcrypto 现有解决方案 数据加载

TiDB 用户文档 TiDB 数据库管理 TiDB 服务 TiDB 进程启动参数 TiDB 系统数据库 TiDB 系统变量 TiDB 专用系统变量和语法 TiDB 访问权限管理 TiDB 用户账户管理 使用加密连接 SQL 优化 理解 TiDB 执行计划 统计信息 语言结构 字面值 数据库、表、索引、列和别名 关键字和保留字 用户变量 表达式语法 注释语法 字符集和时区 字符集支持 字符集配置 时区 数据类型 函数和操作符概述 表达式求值的类型转换 操作符 控制流程函数 - 2 - 本文档使用 书栈(BookStack.CN) 构建 字符串函数 数值函数与操作符 日期和时间函数 位函数和操作符 Cast 函数和操作符 加密和压缩函数 信息函数 JSON 函数 GROUP BY 聚合函数 其他函数 精度数学 SQL 语句语法 数据定义语句 (DDL) 数据操作语句 (DML) 事务语句 数据库管理语句 Prepared 服务 TiDB 进程启动参数 TiDB 数据目录 TiDB 系统数据库 TiDB 系统变量 TiDB 专用系统变量和语法 TiDB 服务器日志文件 TiDB 访问权限管理 TiDB 用户账户管理 使用加密连接 SQL 优化 理解 TiDB 执行计划 统计信息 语言结构 字面值 数据库、表、索引、列和别名 关键字和保留字 用户变量 表达式语法 注释语法 字符集和时区 字符集支持 字符集配置 时区 数据类型

· · · · · · · · · 1218 12.9.1 为 TiDB 客户端服务端间通信开启加密传输· · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 1218 12.9.2 为 TiDB 组件间通信开启加密传输 · · · · · · · · · · · · · · · · · · · · · · · · · · · 1226 12.9.4 静态加密 · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 1229 12.9.5 为 TiDB 落盘文件开启加密 · · · · · · · · · · · · · innodb_default_row_format，配置此变量无实际效果 #23541。 • 从 TiDB 5.2 起，为了提高系统安全性，建议（但不要求）对来自客户端的连接进行传输层加密，TiDB 提 供 Auto TLS 功能在 TiDB 服务器端自动配置并开启加密。要使用 Auto TLS 功能，请在 TiDB 升级前将 TiDB 配 置文件中的security.auto-tls 设置为 true。 • 支持 caching_sha2_password

· · · · · · · · · 1175 12.9.1 为 TiDB 客户端服务端间通信开启加密传输· · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 1175 12.9.2 为 TiDB 组件间通信开启加密传输 · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 1183 12.9.4 静态加密从 v4.0.0 版本开始引入 · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 1185 12.9.5 为 TiDB 落盘文件开启加密 · · · · · · · · · · · · · · · · · 控制流程函数 Y Y Y Y 字符串函数 Y Y Y Y 数值函数与操作符 Y Y Y Y 日期和时间函数 Y Y Y Y 位函数和操作符 Y Y Y Y Cast 函数和操作符 Y Y Y Y 加密和压缩函数 Y Y Y Y 信息函数 Y Y Y Y JSON 函数 实验特性 实验特性 实验特性 实验特性 聚合函数 Y Y Y Y 窗口函数 Y Y Y Y 其他函数 Y Y Y Y

· · · · · · · · · 1263 12.9.1 为 TiDB 客户端服务端间通信开启加密传输· · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 1263 12.9.2 为 TiDB 组件间通信开启加密传输 · · · · · · · · · · · · · · · · · · · · · · · · · · · 1271 12.9.4 静态加密 · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 1274 12.9.5 为 TiDB 落盘文件开启加密 · · · · · · · · · · · · · Schema column 报错的问题 #28149 – 修复 TiDB 在 TiFlash 关闭时可能出现 panic 的问题 #28096 – 移除对基于 3DES (三重数据加密算法) 不安全的 TLS 加密套件的支持 #27859 – 修复因 Lightning 前置检查会连接已下线的 TiKV 节点而导致导入失败的问题 #27826 – 修复在导入太多文件到表时前置检查花费太多时间的问题

· · · · · · · · · 1698 12.9.1 为 TiDB 客户端服务端间通信开启加密传输· · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 1698 12.9.2 为 TiDB 组件间通信开启加密传输 · · · · · · · · · · · · · · · · · · · · · · · · · · · 1706 12.9.4 静态加密 · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 1709 12.9.5 为 TiDB 落盘文件开启加密 · · · · · · · · · · · · · • TiFlash – 优化本地算子通讯 42 – 调高 gRPC 非临时线程数，避免频繁创建/销毁线程 • Tools – Backup & Restore (BR) * 增加 BR 加密备份时，对密钥的合法性检查 #29794 – TiCDC * 减少 “EventFeed retry rate limited” 日志的数量 #4006 * 降低在同步大量表时的同步延时 #3900

· · · · · · · · · 2311 14.9.1 为 TiDB 客户端服务端间通信开启加密传输· · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 2311 14.9.2 为 TiDB 组件间通信开启加密传输 · · · · · · · · · · · · · · · · · · · · · · · · · · · 2319 14.9.4 静态加密 · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 2321 14.9.5 为 TiDB 落盘文件开启加密 · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 3174 15.10.1 TiDB 是否支持数据加密？· · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 3174

· · · · · · · · · 2718 14.9.1 为 TiDB 客户端服务端间通信开启加密传输· · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 2718 14.9.2 为 TiDB 组件间通信开启加密传输 · · · · · · · · · · · · · · · · · · · · · · · · · · · 2726 14.9.4 静态加密 · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 2729 14.9.5 为 TiDB 落盘文件开启加密 · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 3707 15.10.1 TiDB 是否支持数据加密？· · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 3707

· · · · · · · · · 2565 14.9.1 为 TiDB 客户端服务端间通信开启加密传输· · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 2565 14.9.2 为 TiDB 组件间通信开启加密传输 · · · · · · · · · · · · · · · · · · · · · · · · · · · 2573 14.9.4 静态加密 · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 2575 14.9.5 为 TiDB 落盘文件开启加密 · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 3506 15.10.1 TiDB 是否支持数据加密？· · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 3506

· · · · · · · · 2907 14.11.1 为 TiDB 客户端服务端间通信开启加密传输· · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 2907 14.11.2 为 TiDB 组件间通信开启加密传输 · · · · · · · · · · · · · · · · · · · · · · · · · 2915 14.11.4 静态加密 · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 2918 14.11.5 为 TiDB 落盘文件开启加密 · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 4014 15.10.1 TiDB 是否支持数据加密？· · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · · 4014