## 深度揭秘Greenplum开源数据库 透明加密 Greenplum 研发工程师 王湯舟 1. 我们所面临的问题 2. 基于pgcrypto的数据加密方案 3. GPDB数据透明加密方案设计 4. GPDB数据透明加解密流程 5. 总结 ## 我们所面临的问题 ## 什么是Greenplum数据库 GPDB 一款开源的HTAP数据库： • MPP架构 完整的事务+ACID+标准SQL支持 GPDB的数据安全 用户的问题 数据需要加密 • 机密数据 • 知识产权保护 • 审计要求 用户数据存在直接暴露的风险 • 非部门员工运维（原厂，主机厂或者合作伙伴） • 事后审计难度很大 • 服务器数据被盗（托管或云部署） ## 现有解决方案 基于操作的系统的硬盘加密 • 只能防范服务器硬盘被盗 • 对运维安全无能为力 基于pgcrypto的加密 • 可以满足数据安全要求 • • 非原生方案 • 问题很多 ## 基于pgcrypto的数据加密方案 ## pgcrypto Postgresql社区提供的一款简单加密插件 https://www.postgresql.org/docs/13/pgcrypto.html https://github.com/greenplum-db/gpdb/tree/master/contrib/pgcrypto 现有解决方案 数据加载

# RANCHER $ ^{®} $ # Rancher Kubernetes Cryptographic Library FIPS 140-2 Non-Proprietary Security Policy Document Version 1.1 January 4, 2021 Prepared for: ![Image](/uploads/documents/b/8/7/3/b8 Name|Date| |---|---|---| |\[140]|FIPS 140-2, Security Requirements for Cryptographic Modules|12/3/2002| |\[140AA]|FIPS 140-2 Annex A: Approved Security Functions|6/10/2019| |\[140AC]|FIPS 140-2 Annex C: Approved Generators|6/10/2019| |\[140AD]|FIPS 140-2 Annex D: Approved Key Establishment Techniques|8/12/2020| |\[140DTR]|FIPS 140-2 Derived Test Requirements|1/4/2011| |\[140IG]|Implementation Guidance for FIPS 140-2 and the Cryptographic

的安装配置参数 727 # 第7章 在 AZURE 上安装 ... 741 7.1. 准备在 AZURE 上安装 741 7.2. 配置 AZURE 帐户 742 7.3. 为 AZURE 启用用户管理的加密 758 7.4. 在 AZURE 上快速安装集群 760 7.5. 使用自定义在 AZURE 上安装集群 768 7.6. 使用网络自定义在 AZURE 上安装集群 797 7.7. 将 AZURE OPENSHIFT CONTAINER PLATFORM 集群 3872 # 第 27 章 支持 FIPS 加密 3874 27.1. OPENSHIFT CONTAINER PLATFORM 中的 FIPS 验证 3874 27.2. 集群使用的组件支持 FIPS 3875 27.3. 在 FIPS 模式下安装集群 3875 ## 第1章 OPENSHIFT CONTAINER PLATFORM 置这些自定义区域。 您还可以将集群机器配置为使用RHEL加密库在安装过程中为FIPS140-2/140-3Validation提交给 NIST。  ## 重要 当以FIPS模式运行Red Hat Enterprise Linux（RHEL）或Red

在不使用 SSH 连接到主机的情况下手动收集日志 ..... 5 第2章 支持 FIPS 加密 ..... 6 2.1. OPENSHIFT CONTAINER PLATFORM 中的 FIPS 验证 ..... 6 2.2. 集群使用的组件支持 FIPS ..... 6 2.3. 在 FIPS 模式下安装集群 ..... 7 第3章 安装配置 ..... 8 3.1 oc adm node-logs --role=master --path=openshift-apiserver ## 第 2 章 支持 FIPS 加密 从版本 4.3 开始，您可以安装一个使用经 FIPS 验证的/Modules in Process 加密库的 OpenShift Container Platform 集群。 对于集群中的 Red Hat Enterprise Linux CoreOS 的机器上安装操作系统时，启用 FIPS 模式。这些配置方法可确保集群满足 FIPS 合规审核的要求：在初始系统引导前，只启用经 FIPS 验证/Modules in Process 加密的软件包。 因为 FIPS 必须在集群首次引导操作系统之前启用，所以您不能在部署集群后启用 FIPS。 #### 2.1. OPENSHIFT CONTAINER PLATFORM 中的 FIPS 验证 OpenShift

Fail”的弊病显现，也因此引发了一系列的技术变革与商业变革，启动了一轮从“集中式”走向“分布式”的时代浪潮。 在此背景下，区块链技术在2008年萌芽成型，并逐渐发展成熟。通过区块链技术解决方案中的共识机制、分布式账本、加密算法、智能合约、点对点通信、分布式计算架构、分布式存储、隐私保护算法、跨链协议等技术模块，可以让商业模式中的参与各方实现了地位对等和互信合作，从而推动了从“信息互联网”到“信任互联网”的时代进步，也令商业模式全面走向“分布式”成为可能。 平台通过节点准入控制、可靠的密钥管理、灵活的权限控制，在应用、存储、网络、主机层实现全面的安全保障。在隐私保护的设计上，支持权限管理、物理隔离，支持国密算法（国家密码局认证的标准算法），同时也对外开源了包括同态加密、零知识证明、群签名、环签名等多种隐私保护算法的实现方案。 - 在可用性方面，FISCO BCOS设计为7×24小时运行，达到金融级高可用性。在监管支持方面，可支持监管和审计机构作为观察节点加入， 更多关于虚拟机的介绍，请参考虚拟机设计文档 ## 密钥管理服务 2.0版本对落盘加密进行了重塑升级，开启落盘加密功能时，依赖KeyManager服务进行密钥管理，安全性更强。 KeyManager在Github开源发布，节点与KeyManager的交互协议是开放的，支持机构设计实现符合自身密钥管理规范的KeyManager服务，比如采用硬件加密机技术。该部分更详细的文档请参考使用文档和设计文档 ## 准入控制

ntroduction to Apache Shiro ## What is Apache Shiro? Apache Shiro 是一个强大而灵活的开源安全框架，它干净利落地处理身份认证，授权，企业会话管理和加密。 Apache Shiro 的首要目标是易于使用和理解。安全有时候是很复杂的，甚至是痛苦的，但它没有必要这样。框架应该尽可能掩盖复杂的地方，露出一个干净而直观的 API，来简化开发人员在使他们的应用程序安全上的努力。 ——身份验证，授权，会话管理和加密作为其目标。 • Authentication：有时也简称为“登录”，这是一个证明用户是他们所说的他们是谁的行为。 • Authorization：访问控制的过程，也就是绝对“谁”去访问“什么”。 Session Management：管理用户特定的会话，即使在非 Web 或 EJB 应用程序。 • Cryptography: 通过使用加密算法保持数据安全同时易于使用。 包中的类都被精心地设计以易于使用和易于理解。任何使用 Java 的本地密码支持的人都知道它可以是一个难以驯服的具有挑战性的动物。Shiro 的 cryptoAPI 简化了复杂的 Java 机制，并使加密对于普通人也易于使用。 ###### • Realms(org.apache.shiro.realm.Realm) 如上所述，Realms 在 Shiro 和你的应用程序的安全数据之间担当“桥梁

this time no web browsers support RFC 2817. ## SSLFIPS Directive |Description:|SSL FIPS mode Switch| |---|---| |Syntax:|SSLFIPS on \| off| |Default:|SSLFIPS off| |Context:|server config| config| |Status:|Extension| |Module:|mod\_ssl| This directive toggles the usage of the SSL library FIPS_mode flag. It must be set in the global server context and cannot be configured with conflicting settings did not support the FIPS_mode flag, SSLFIPS on will fail. Refer to the FIPS 140-2 Security Policy document of the SSL provider library for specific requirements to use mod_ssl in a FIPS 140-2 approved mode

CONTAINER PLATFORM 集群 ..... 3136 第26章 支持 FIPS 加密 ..... 3137 26.1. OPENSHIFT CONTAINER PLATFORM 中的 FIPS 验证 ..... 3137 26.2. 集群使用的组件支持 FIPS ..... 3137 26.3. 在 FIPS 模式下安装集群 ..... 3138 ## 第 1 章 OPENSHIFT 您还可以将集群机器配置为在安装过程中使用 FIPS 验证的/Modules in Process 加密库。  ## 重要 只有在 x86_64 架构中的 OpenShift Container Platform 部署支持 FIPS 验证的/Modules 验证的/Modules in Process 加密库。 #### 2.2. 安装后为用户准备集群 在安装集群时不需要进行一些配置，但建议在用户访问集群前进行操作。您可以通过自定义组成集群的Operator，并将集群与其他所需系统（如身份提供程序）集成，从而自定义集群本身。 对于生产环境集群，您必须配置以下集成： 持久性存储 身份供应商 监控 OpenShift Container Platform 核心组件