DiCE——一种面向云的数据加密代理

将关系数据库外包至云具有可扩展性、可用性和成本效益等诸多益处。然而，外包数据的机密性与安全性令人担忧。此处一种通用方案是使用标准化加密算法加密数据，随后仅将加密数据存于云中。但该方案的问题在于，加密后数据的重要属性（如排序、格式或可比性）会丢失，而这些属性对数据库查询功能至关重要。一种解决方案是使用（例如保序）加密算法，其在加密数据中亦保留这些属性，从而支持对加密数据的查询。这些算法从凯撒加密等简单算法到 mOPE 等安全算法不一而足。为尽可能简便地使用这些算法，我们开发了作为 JDBC 驱动程序的“DiCE”代理，其解析 SQL 查询并透明地加解密这些查询。由此可在云中对加密数据库执行诸多查询，且（近乎）达到未加密数据库的性能。DiCE 驱动程序可与任何其他 JDBC 驱动程序配合使用，因而支持多种数据库。该驱动可配置以支持不同加密算法。为追踪操作，我们开发了“Dice Information Client”以跟踪驱动程序的加解密过程。尽管性能分析结果显示因 Dice 驱动程序中 SQL 查询的解析与加密产生了一定开销，但网络与并行查询等其他影响因素显著降低了该开销。