SQL Server パフォーマンスチューニング、コンサルティング、アドバイス、相談、定期診断、トレーニング

ホーム＞技術情報＞ SQL Server 2012 自習書セキュリティ

SQL Server 2012 自習書「No.18 セキュリティ」（HTML 版）

松本美穂と松本崇博が執筆した完全オリジナル SQL Server 2012 自習書シリーズの「No.18 セキュリティ」の HTML 版です。日本マイクロソフトさんの Web サイトで Word または PDF 形式でダウンロードできますが、今回、HTML 版として公開する許可をいただきましたので、ここに掲載いたします。[2013年12月29日]

目次へ | 前のページへ | 次のページへ

5.1　透過的なデータ暗号化（TDE: Transparent Data Encryption）

◆ 透過的なデータ暗号化

透過的なデータ暗号化は、データベース内のオブジェクトをすべて暗号化できる機能です。SQL Server 2005 のときには、EncryptByKey と DecryptByKey を利用した暗号化機能が提供されていましたが、この機能を利用するには、アプリケーションを修正する必要がありました。そこで、SQL Server 2008 からは、アプリケーションを修正しなくてもよい（アプリケーションからは透過的に利用できる）暗号化機能として、透過的なデータ暗号化機能が提供されました。

透過的なデータ暗号化では、データベースに対して暗号化を設定するだけで、データベース内のすべてのオブジェクトが暗号化されるようになります（データファイル全体を暗号化することができます）。また、バックアップファイルも自動的に暗号化されるようになります。これにより、データファイル（.mdf）やハードディスクが盗難に遭ったり、バックアップテープが持ち出されてたとしても、（暗号が解読されない限り）データが読み取られることはありません。

◆ Let's Try

それでは、これを試してみましょう。

1．まずは、「enc」という名前のデータベースを任意の場所（C:\ など）へ作成します（CREATE DATABASE が失敗する場合は、「C:\」への書き込み権限を与えるか、書き込み権限のあるフォルダーを指定して作成してください）。

USE master
go
CREATE DATABASE enc
ON PRIMARY
( NAME = 'enc',
FILENAME = 'C:\enc.mdf' )

2．次に、CREATE MASTER KEY ENCRYPTION ステートメントを利用して、マスターキーを作成します。

USE master
go
CREATE MASTER KEY ENCRYPTION
BY PASSWORD = '>StrongPassword>'

00155

3．次に、CREATE CERTIFICATE ステートメントを利用して、サーバー証明書を「MyServerCert」という名前で作成します。

CREATE CERTIFICATE MyServerCert
WITH SUBJECT = 'My Certificate'

00156

4．続いて、このサーバー証明書を利用して、データベース暗号化キーを作成します（CREATE DATABASE ENCRYPTION KEY ステートメントを利用します）。暗号化アルゴリズムには、AES_128、AES_192、AES_256 などを選択できますが、今回は、次のように AES_128 を指定して作成します。

USE enc
go
CREATE DATABASE ENCRYPTION KEY
WITH ALGORITHM = AES_128
ENCRYPTION BY SERVER CERTIFICATE MyServerCert

00157

実行後、証明書のバックアップに関する警告が表示されますが、これについては、後述します。

5．次に、ALTER DATABASE ステートメントを利用して、データベースに対して透過的なデータ暗号化を有効化します。

ALTER DATABASE enc
SET ENCRYPTION ON

00158

以上で設定が完了です。

次に、この「enc」データベース内へテーブルを作成して、データを追加し、バックアップを実行してみましょう。

USE enc
go
-- テーブルの作成
CREATE TABLE t1
( a int , b varchar(100) )
-- データを 3件追加
INSERT INTO t1
VALUES
     (1, 'aaaaaaaaaa')
    ,(2, 'あいうえお')
    ,(3, '暗号化されている？？？')

SELECT * FROM t1
-- データベースのバックアップ
BACKUP DATABASE enc
TO DISK = 'C:\enc.bak'

00159

次に、正しく暗号化されたかどうかを確認するために、SQL Server サービスを停止し、停止が完了した後に、データファイル「C:\enc.mdf」を任意のバイナリエディター（Stirling など）で開いてみましょう。

00160

バイナリエディターで開いても、どういったデータが格納されているかを読み取ることはできず、きちんと暗号化されていることを確認できます。同じように、バックアップファイル「C:\enc.bak」についても暗号化がされていることを確認しておきましょう。

なお、暗号化をしていないデータベースをバイナリエディターで開いた場合は、次のようにデータを読み取ることが可能です。

00161

◆ GUI での設定方法

手順4「データベース暗号化キーの作成」と手順5「データベース対して暗号化を有効」については、Management Studio から GUI ベースで設定することもできます。これは、次のように対象となるデータベースを右クリックして［タスク］メニューの［データベース暗号化の管理］をクリックして行えます。

00162