核心数据库启用存储加密，是防止磁盘被物理窃取后数据泄露的最直接有效手段，任何操作系统层的权限控制和防火墙都无法替代。 物理窃取场景包括服务器被盗、硬盘被拆卸、数据中心的废旧磁盘未彻底销毁等，一旦攻击者绕开操作系统直接读取磁盘，所有的文件权限、数据库访问控制都会失效，存储加密在数据写入磁盘时自动加密，读取时解密，确保密钥在数据库之外不可用,启用存储加密是核心数据库的底线安全措施。
物理服务器磁盘窃取，数据安全面临什么威胁？
数据库防磁盘窃取，为什么加密是唯一手段？
现实中，物理访问往往是最薄弱环节，服务器被搬走、硬盘被拆下、甚至运维人员恶意拷贝磁盘，这些场景并不罕见，据统计，相当一部分数据泄露事件涉及物理介质丢失或被盗，没有加密的数据库，磁盘上的数据是明文，攻击者通过挂载到另一台机器即可读取，即使有操作系统权限保护，攻击者也可以通过Live CD启动系统绕过系统密码，直接读取数据文件,物理威胁不容忽视。
- 典型场景：机房服务器被盗窃、硬盘被替换、废旧磁盘未消磁
- 攻击方式：直接读取磁盘、冷启动攻击、内存转储
- 防御手段：存储加密是唯一有效手段，操作系统权限无法阻止物理访问
数据库加密价格贵吗？性能影响大不大？
这是很多企业决策时最关心的问题。
成本方面
不同数据库加密的成本差异较大，商业数据库如Oracle，透明数据加密（TDE）需要额外授权，价格较高，MySQL企业版TDE包含在订阅中，但如果使用社区版，则需要第三方插件，PostgreSQL有免费的pgcrypto扩展，但只能实现列级加密，透明加密需要第三方方案，密钥管理基础设施（如HSM）也会增加成本，总体来看，对于非核心系统，可以使用开源方案降低成本；对于核心数据库,投资于商业加密方案是值得的。
性能影响
行业共识认为，现代硬件加速（如AES-NI）下，透明加密对OLTP性能影响较小，多数情况下在5%内，但对于DSS或大量数据扫描的场景，加密和解密会增加CPU开销，导致查询时间延长，需要针对工作负载进行测试，合理规划加密表空间，避免全表扫描,可以减轻影响。
- 影响程度：OLTP影响小，DSS可能明显
- 优化方式：使用AES-NI硬件加速、只加密必要表空间、避免对大表全表扫描
- 测试建议：在测试环境使用相同负载对比，确保性能可接受
数据库加密怎么配置？手把手操作指南
我们以MySQL 8.0和Oracle 19c为例,展示透明数据加密的配置步骤。
MySQL 8.0透明表空间加密
安装keyring组件
MySQL支持多种keyring插件，如keyring_file（测试用）或keyring_okv（与Oracle KM兼容）。
INSTALL PLUGIN keyring_file SONAME 'keyring_file.so'; SET GLOBAL keyring_file_data = '/var/lib/mysql-keyring/keyring';
注意：生产环境建议使用keyring_okv或keyring_aws,将密钥保存在外部密钥管理系统中。
创建加密表或启用加密
创建表时指定加密：
CREATE TABLE t1 (id INT) ENCRYPTION='Y';
对现有表开启加密：
ALTER TABLE t1 ENCRYPTION='Y';
加密操作会原地重写表数据,建议在维护窗口进行。
验证加密状态
SELECT TABLE_SCHEMA, TABLE_NAME, CREATE_OPTIONS FROM INFORMATION_SCHEMA.TABLES WHERE CREATE_OPTIONS LIKE '%ENCRYPTION%';
Oracle 19c透明数据加密
配置Oracle Wallet
ADMINISTER KEY MANAGEMENT CREATE KEYSTORE '/etc/oracle/keystore' IDENTIFIED BY "password"; ADMINISTER KEY MANAGEMENT SET KEYSTORE OPEN IDENTIFIED BY "password"; ADMINISTER KEY MANAGEMENT SET KEY IDENTIFIED BY "password" WITH BACKUP;
建议配置自动登录钱包,避免数据库重启后需要手动打开。
创建加密表空间
CREATE TABLESPACE enc_ts DATAFILE '/u01/app/oracle/oradata/orcl/enc_ts01.dbf' SIZE 100M ENCRYPTION USING 'AES256' DEFAULT STORAGE(ENCRYPT);
对现有表空间加密：
ALTER TABLESPACE users ENCRYPTION ONLINE USING 'AES256';
在线加密期间表空间仍然可用，但会增加一些I/O开销。
SQL Server透明数据加密（TDE）
创建主密钥和证书
CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'password'; CREATE CERTIFICATE TDECert WITH SUBJECT = 'TDE Certificate';
创建数据库加密密钥并启用加密
USE [YourDatabase]; CREATE DATABASE ENCRYPTION KEY WITH ALGORITHM = AES_256 ENCRYPTION BY SERVER CERTIFICATE TDECert; ALTER DATABASE YourDatabase SET ENCRYPTION ON;
备份证书和密钥
务必备份证书和主密钥，否则数据库无法恢复,建议将证书导出到安全位置。
金融行业数据库加密方案，怎么选？
金融行业对数据安全要求极高，合规要求如PCI DSS、等保三级都明确要求数据加密，对于核心交易系统，推荐使用透明数据加密（TDE），因为它对应用透明，无需修改代码，性能影响最小，需要结合密钥管理，使用硬件安全模块（HSM）存储主密钥,确保密钥安全。
对比透明加密 vs 应用层加密
| 特性 | 透明加密（TDE） | 应用层加密 |
|---|---|---|
| 对应用透明 | 是 | 否，需修改代码 |
| 性能影响 | 较小 | 较大，需额外解密计算 |
| 密钥管理 | 由数据库管理 | 开发团队管理 |
| 适用场景 | 核心OLTP系统 | 特定敏感字段 |
对于非核心系统，可以考虑列级加密或应用层加密，但会带来较高的开发成本，业内专家指出，密钥管理是加密方案成功的关键,不当的密钥管理会导致加密形同虚设。
无论选择哪种方案，启用存储加密都是核心数据库防御物理窃取的安全底线，尽早部署,避免数据裸奔。
核心数据库存储加密常见问题
数据库加密会影响性能吗？
会产生一定开销，但现代CPU通过AES-NI指令集硬件加速加密运算，对OLTP影响很小，建议在测试环境验证性能差异，并避免对大量数据扫描的查询使用全表加密,合理规划索引和查询可以减少性能影响。
数据库加密价格怎么样？
价格取决于数据库产品和加密方式，商业数据库TDE通常需要额外授权，但多数企业版已包含，开源数据库如MySQL社区版需要第三方插件，但也可用，密钥管理基础设施（如HSM）是额外成本，总体而言，对于保护核心数据,投入是值得的。
物理窃取真的会发生吗？
尽管概率较低，但近年来数据中心硬盘被盗、废旧设备数据泄露的案例屡见不鲜，云环境中，物理服务器多租户环境下，磁盘未彻底销毁也可能导致数据残留，物理窃取是对数据安全的现实威胁,加密是唯一有效的防范措施。