深度揭秘Greenplum开源数据库 透明加密 Greenplum 研发工程师 王淏舟 1. 我们所面临的问题 2. 基于pgcypto的数据加密方案 3. GPDB数据透明加密方案设计 4. GPDB数据透明加解密流程 5. 总结 我们所面临的问题 什么是Greenplum数据库 一款开源的HTAP数据库: • MPP架构 • 完整的事务+ACID+标准SQL支持 • 支持上千个节点的部署 GPDB的数据安全 数据需要加密 • 机密数据 • 知识产权保护 • 审计要求 用户数据存在直接暴露的风险 • 非部门员工运维（原厂，主机厂或者合作伙伴） • 事后审计难度很大 • 服务器数据被盗（托管或云部署） 用户的问题 现有解决方案 基于操作的系统的硬盘加密 • 只能防范服务器硬盘被盗 • 对运维安全无能为力 基于pgcypto的加密 • 可以满足数据安全要求 • 非原生方案 • 问题很多 基于pgcypto的数据加密方案 pgcypto Postgresql社区提供的一款简单加密插件 • https://www.postgresql.org/docs/13/pgcrypto.html • https://github.com/greenplum-db/gpdb/tree/master/contrib/pgcrypto 现有解决方案 数据加载

56 不支持项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56 4.7 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56 4.7.1 背景 6.5.1 ReplicaLoadBalanceAlgorithm . . . . . . . . . . . . . . . . . . . . . . . . . . . 216 6.6 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 217 6.6.1 EncryptAlgorithm . 255 规则切换阶段 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 255 7.4 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 255 7.4.1 处理流程详解

39 不支持项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40 3.8 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40 3.8.1 背景 . . . . 259 负载均衡算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 262 加密算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 264 影子算法 . . . 11.3 已知实现 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 295 5.12 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 295 5.12.1 EncryptAlgorithm

55 不支持项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55 4.8 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55 4.8.1 背景 . . . . 119 负载均衡算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 119 加密算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 120 影子算法 . . . 1 SQLChecker . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 219 6.13 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 219 6.13.1 EncryptAlgorithm

54 不支持项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55 4.8 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55 4.8.1 背景 . . . . 118 负载均衡算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 118 加密算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 119 影子算法 . . . 1 SQLChecker . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 214 6.13 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 214 6.13.1 EncryptAlgorithm

75 不支持项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75 3.6 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75 iii 3.6 . . . . . . . . . . . . . . . . . . . . . . . . . . 80 中间件加密服务优势 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 84 加密算法解析 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5.5.1 ReplicaLoadBalanceAlgorithm . . . . . . . . . . . . . . . . . . . . . . . . . . . 276 5.6 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 277 5.6.1 EncryptAlgorithm

56 不支持项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56 4.8 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56 4.8.1 背景 . . . . 122 负载均衡算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 123 加密算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 123 影子算法 . . . 1 SQLChecker . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 230 6.13 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 230 6.13.1 EncryptAlgorithm

41 不支持项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42 8.7 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42 8.7.1 背景 . . . . 371 负载均衡算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 372 加密算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 373 影子算法 . . . 403 已知实现 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 403 10.6 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 403 10.6.1 EncryptAlgorithm

41 不支持项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42 8.7 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42 8.7.1 背景 . . . . 389 负载均衡算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 390 加密算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 391 影子算法 . . . 424 已知实现 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 424 10.6 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 424 10.6.1 EncryptAlgorithm

41 不支持项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42 8.7 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42 8.7.1 背景 . . . . 416 负载均衡算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 417 加密算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 419 影子算法 . . . viii 已知实现 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 450 10.6 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 450 10.6.1 EncryptAlgorithm