SQL Server 2016：常に暗号化

SQLServerODBCドライバーのインストール

SQL Server ODBCドライバーは、アプリケーションとSQL Server間の接続レイヤーを提供するだけでなく、AlwaysEncrypted列に格納されているデータの暗号化/復号化も処理します。

SQLServerODBCドライバーをインストールしてライセンスを取得します。これを行う方法については、SQLServerODBCドライバーのドキュメントを参照してください。アプリケーションが64ビットの場合は、64ビットバージョンのODBCドライバーをダウンロードします。それ以外の場合は、オペレーティングシステムのアーキテクチャに関係なく、32ビットバージョンのドライバを使用してください。

ODBCデータソースには、SQLServerODBCドライバーがターゲットSQLServerインスタンスに接続できるようにする接続文字列情報が含まれています。私たちのマシンでは、ODBCデータソースは /etc/odbc.iniに保存されています 。このデータソースの抜粋は、AlwaysEncrypted列に関連する設定を示しています。

[SQLSERVER_2016]
Driver=Easysoft ODBC-SQL Server SSL # Must use SSL version of driver
Server=machine\sqlserver_instance
Database=database_with_always_encrypted_data
User=user # This can be a Windows or SQL Server login.
Password=password
Trusted_Connection=Yes # Set this to No for a SQL Server login
ColumnEncryption=Enabled # To view Always Encrypted data or to
                         # insert into an Always Encrypted column set to Enabled

注 「SSL接続がsyscallで失敗しました」というエラーで接続が失敗した場合、システムには「ランダムデバイス」がありません。 エントロピーを参照してください これについて何をすべきかについては、SQLServerODBCドライバーマニュアルの属性を参照してください。

常に暗号化された列へのデータの挿入

これで、Always Encrypted列を含む空のテーブルが作成され、SQLServerODBCドライバーがAlwaysEncryptedDataを処理できるようにLinuxクライアントマシンがセットアップされました。次に、テーブルにデータを入力する必要があります。

データをAlwaysEncrypted列に挿入するには、アプリケーションは次のことを行う必要があります。

1. パラメータ化された挿入を使用します。つまり、INSERT INTO EncryptedTable VALUES（？、？）を使用します。

   これにより、SQL Server ODBCドライバーは、列の値（暗号化する必要があります）とSQLステートメントテキスト（プレーンテキストのままにする必要があります。AlwaysEncryptedでは、SQL Serverは復号化を行いません）を区別できます。

2. パラメータのデータ型を明示的に記述します。

   SQL Serverは、 SQLDescribeParamを使用してデータ型を検出するためのSQLServerODBCドライバーのAlwaysEncrypted列に関する必要な情報を提供しません。 。

これを行う方法を示すPerlサンプルを次に示します。

# Use Perl DBI / DBD:ODBC to insert data into Always Encrypted columns.
use strict;
use warnings;
use DBI;

my $data_source = q/dbi:ODBC:SQLSERVER_2016/;

my $h = DBI->connect($data_source)
    or die "Can't connect to $data_source: $DBI::errstr";
$h->{RaiseError} = 1;

my $s = $h->prepare(q/insert into EncryptedTable values(?,?)/);
my $lastname='Smith';
my $salary=25000;

# Set the data type of the target columns.
# Cannot use SQLDescribeParam with Always Encrypted columns.
$s->bind_param(1, $lastname, DBI::SQL_WVARCHAR);
$s->bind_param(2, $salary, DBI::SQL_INTEGER);
$s->execute($lastname,$salary);
$h->disconnect;

これを行う方法を示すCサンプルを次に示します。

#include <stdio.h>
#include <stdlib.h>
#include <sql.h>
#include <sqlucode.h>
#include <sqlext.h>
#include <string.h>
#include <wchar.h>

#define LASTNAME_LEN 6

SQLHENV   henv  = SQL_NULL_HENV;   // Environment
SQLHDBC   hdbc  = SQL_NULL_HDBC;   // Connection handle
SQLHSTMT  hstmt = SQL_NULL_HSTMT;  // Statement handle
SQLRETURN retcode;

SQLCHAR strLastName[]="Jones";
SQLINTEGER pSalary=25000;

SQLLEN lenLastName=0;

int main () {
    // Allocate environment
    retcode = SQLAllocHandle(SQL_HANDLE_ENV, SQL_NULL_HANDLE, &henv);

    // Set ODBC Version
    retcode = SQLSetEnvAttr(henv, SQL_ATTR_ODBC_VERSION,
                            (SQLPOINTER*)SQL_OV_ODBC3, 0);

    // Allocate Connection
    retcode = SQLAllocHandle(SQL_HANDLE_DBC, henv, &hdbc);

    // Connect to DSN
    retcode = SQLConnect(hdbc, (SQLCHAR*) "MyDSN", SQL_NTS,
                         (SQLCHAR*) NULL, 0, NULL, 0);

    // Allocate Statement Handle
    retcode = SQLAllocHandle(SQL_HANDLE_STMT, hdbc, &hstmt);

    // Bind Parameters to all fields
    retcode = SQLBindParameter(hstmt, 1, SQL_PARAM_INPUT, SQL_C_CHAR,
                               SQL_WVARCHAR, LASTNAME_LEN, 0, strLastName, LASTNAME_LEN,
                    &lenLastName);

    retcode = SQLBindParameter(hstmt, 2, SQL_PARAM_INPUT, SQL_C_LONG,
                               SQL_INTEGER, 0, 0, &pSalary, 0, NULL);

    retcode = SQLPrepare(hstmt, (SQLCHAR*)"INSERT INTO [dbo].[EncryptedTable] ([LastName],[Salary]) VALUES (?,?)",
                               SQL_NTS);

    lenLastName=strlen((char*)strLastName);

    retcode = SQLExecute(hstmt);

exit:

    printf ("\nComplete.\n");

    // Free handles
    // Statement

    if (hstmt != SQL_NULL_HSTMT)
        SQLFreeHandle(SQL_HANDLE_STMT, hstmt);

    // Connection
    if (hdbc != SQL_NULL_HDBC) {
        SQLDisconnect(hdbc);
        SQLFreeHandle(SQL_HANDLE_DBC, hdbc);
    }

    // Environment
    if (henv != SQL_NULL_HENV)
        SQLFreeHandle(SQL_HANDLE_ENV, henv);

    return 0;
}

	

これで列にデータが入力されたので、isqlを使用してデータを取得できます。

$ /usr/local/easysoft/unixODBC/bin/isql.sh -v SQLSERVER_2016
SQL> select * from EncryptedTable
+----+----------+------------+
| ID | LastName | Salary     |
+----+----------+------------+
| 1  | Smith    | 25000      |
+----+----------+------------+

データソースでドライバーロギングをオンにしました。ドライバーログからの次の抜粋は、次のことを示しています。

1. SQL Serverは、列に関するメタ情報として証明書名を提供します。
2. 列データはSQLServer側で暗号化されるため、転送中も暗号化されたままになります。クライアント上のSQLServerODBCドライバーは、列の値を復号化してから、プレーンテキストでアプリケーションに返します。

1.
M.S.S.Q.L._.C.E.
R.T.I.F.I.C.A.T.
E._.S.T.O.R.E.7.
C.u.r.r.e.n.t.U.
s.e.r./.m.y./.7.
2.8.8.1.8.C.5.F.
B.2.C.6.E.B.F.C.
2.5.3.D.B.C.1.2.
2.8.5.B.6.A.D.9.
4.8.9.0.8.3.E..R
.S.A._.O.A.E.P..
.....8.I.D......
...........@....
......L.a.s.t.N.
a.m.e........Q..
.....8....S.a.l.
a.r.y...........

2.
PKTDUMP:         Encrypted column
.);...'A..zs..I.
.N.]r..p.-..$...
.S;.].km6.....3c
r.OhR..j*.....fj
....ARN{V.F.....

DETAIL:  EVP_DecryptInit returns 1
DETAIL:  EVP_DecryptUpdate returns 1, 0
DETAIL:  EVP_DecryptUpdate returns 1, 16
DETAIL:  EVP_DecryptFinal returns 1, 0
PKTDUMP:         data

S.m.i.t.h.

関連項目

• LinuxのAzureKeyVaultで保護されたデータの使用
• Linuxのカスタムキーストアで保護されたデータの使用