Oracle SecureFiles是在Oracle 11g引進(jìn)的，它有傳統(tǒng)的大年夜對(duì)象(已改名為BasicFile LOB)所不具有的一些優(yōu)勢(shì)。Oracle SecureFile LOB撐持智能數(shù)據(jù)緊縮，它是一種消弭多次存儲(chǔ)不異數(shù)據(jù)副本的往重編制，還撐持其他一些利用大年夜對(duì)象晉升機(jī)能的特點(diǎn)。這些新特點(diǎn)中最有效的一個(gè)是Oracle的透明數(shù)據(jù)加密功能，今朝已擴(kuò)大并加進(jìn)了Oracle SecureFiles。
當(dāng)我們?cè)谝粋€(gè)或多個(gè)LOB字段上啟用透明數(shù)據(jù)加密(TDE)時(shí)，Oracle會(huì)在數(shù)據(jù)文件、備份文件和重做日記文件的塊層次上主動(dòng)對(duì)字段履行加密和解密把持。在啟用以后，LOB只能遵循一一字段的編制履行加密，這個(gè)字段的所有LOB(超越所有可用分區(qū))城市加密。利用法度和拜候數(shù)據(jù)表的用戶完全不知道所產(chǎn)生的透明數(shù)據(jù)加密把持。但是，因?yàn)閭鹘y(tǒng)的導(dǎo)進(jìn)導(dǎo)出東西和基于可轉(zhuǎn)移表空間的導(dǎo)出把持不撐持TDE，所以在移動(dòng)這些包含加密字段的數(shù)據(jù)時(shí)必需利用Data Pump導(dǎo)進(jìn)和導(dǎo)出東西。
TDE撐持下面的加密算法：
3DES16——利用168位密鑰的三重?cái)?shù)據(jù)加密尺度。
AES128——利用128位密鑰的高級(jí)加密尺度。
AES192——利用192位密鑰的高級(jí)加密尺度。這是默許算法。
AES256——利用256位密鑰的高級(jí)加密尺度。
在開端利用透明數(shù)據(jù)加密之前，安然治理員必需先成立一個(gè)wallet和設(shè)定一個(gè)主密鑰。我們可利用與其他Oracle數(shù)據(jù)庫組件共享的默許數(shù)據(jù)庫wallet。別的，我們可以成立一個(gè)TDE專用的自力wallet。Oracle強(qiáng)烈建議利用一個(gè)自力wallet來存儲(chǔ)主加密密鑰。假定sqlnet.ora文件中沒有設(shè)置ENCRYPTION_WALLET_LOCATION參數(shù)，那么它就會(huì)利用WALLET_LOCATION值。假定sqlnet.ora文件沒有設(shè)置WALLET_LOCATION，那么它就會(huì)利用默許數(shù)據(jù)庫wallet。默許數(shù)據(jù)庫wallet的位置是ORACLE_BASE/admin/DB_UNIQUE_NAME/wallet。
假定利用TDE專用的wallet，那么必需利用ENCRYPTION_WALLET_LOCATION參數(shù)在sqlnet.ora文件中指定wallet位置。主暗碼將用于呵護(hù)數(shù)據(jù)表暗碼和表空間加密密鑰，并且存儲(chǔ)在外部安然模塊中。默許環(huán)境下，TDE會(huì)生成一個(gè)隨奧秘鑰。別的，它也多是來自于專門用于加密的PKI證書的現(xiàn)有密鑰對(duì)。
利用下面的號(hào)令，便可以設(shè)置主加密密鑰：
ALTER SYSTEM SET ENCRYPTION KEY ["certificate_ID"] IDENTIFIED BY "password";
certificate_ID ——這是一個(gè)可選字符串，它包含了Oracle wallet所存儲(chǔ)證書的獨(dú)一標(biāo)識(shí)符。假定想要利用PKI私有密鑰作為主加密密鑰，則可利用這個(gè)參數(shù)。
password ——這是安然模塊必然要利用的wallet暗碼。它辨別大年夜小寫。
這個(gè)數(shù)據(jù)庫必需將主加密密鑰加載到內(nèi)存中，然后它才能加密或解密字符/表空間。下面的ALTER SYSTEM號(hào)令將顯式打開wallet：
ALTER SYSTEM SET ENCRYPTION WALLET OPEN IDENTIFIED BY "password"
此中的“password”值是指成立加密密鑰時(shí)所利用的暗碼。這個(gè)暗碼串必需添加到雙號(hào)中。在wallet打開以后，它會(huì)一向保持打開，直到數(shù)據(jù)庫實(shí)例封鎖或顯式封鎖wallet。下面的號(hào)令將顯式封鎖wallet：
ALTER SYSTEM SET ENCRYPTION WALLET CLOSE IDENTIFIED BY "password"
封鎖wallet將禁用所有加密和解密把持。每當(dāng)我們從頭啟動(dòng)一個(gè)數(shù)據(jù)庫實(shí)例，我們都必需打開wallet，從頭啟用加密和解密把持。一旦成立和打開了wallet，我們便可以在ENCRYPT子句中利用CREATE TABLE和ALTER TABLE號(hào)令。
用于加密非LOB字段的透明數(shù)據(jù)加密語法與在Oracle SecureFiles中啟用加密的語法完全不異。它們有一個(gè)首要的辨別，非LOB字段可利用NO SALT參數(shù)禁止TDE在加密數(shù)據(jù)之前先給數(shù)據(jù)添加一個(gè)隨機(jī)字符串。Oracle SecureFile LOB字段不撐持NO SALT選項(xiàng)。我們可利用數(shù)據(jù)字典視圖USER_ENCRYPTED_COLUMNS肯定應(yīng)當(dāng)加密哪一些字段，和這些字段的狀況。下面是一些ENCRYPT子句的例子：
CREATE TABLE tab_3DES (col1 CLOB ENCRYPT USING '3DES168')
LOB(col1) STORE AS SECUREFILE(
CACHE
NOLOGGING
);
利用默許加密算法(AES192)和一個(gè)暗碼成立一個(gè)Oracle SecureFile LOB字段：
CREATE TABLE tab_enc_pw (col1 CLOB ENCRYPT IDENTIFIED BY badpassword)
LOB(col1) STORE AS SECUREFILE(
CACHE
);
利用AES256啟用LOB加密：
ALTER TABLE tab_nocrypt MODIFY
( col1 CLOB ENCRYPT USING 'AES256');
通太從頭生成加密密鑰點(diǎn)竄一個(gè)Oracle SecureFiles字段：
ALTER TABLE tab_3DES REKEY USING 'AES256';
Disable LOB encryption:
禁用LOB加密：
ALTER TABLE tab_enc_pw MODIFY
( col1 CLOB DECRYPT);
Oracle數(shù)據(jù)庫中存儲(chǔ)的大年夜對(duì)象數(shù)據(jù)容量會(huì)繼續(xù)增加，可是存儲(chǔ)費(fèi)用在不竭降落。此中有良多的敏感數(shù)據(jù)，如醫(yī)療記實(shí)、員工數(shù)據(jù)和常識(shí)產(chǎn)權(quán)。可以或許對(duì)這些信息進(jìn)行加密，這是很是貴重的，也能夠避免在將來投進(jìn)大年夜量金錢和精力往實(shí)現(xiàn)安然性。