深度揭秘Greenplum开源数据库 透明加密 Greenplum 研发工程师 王淏舟 1. 我们所面临的问题 2. 基于pgcypto的数据加密方案 3. GPDB数据透明加密方案设计 4. GPDB数据透明加解密流程 5. 总结 我们所面临的问题 什么是Greenplum数据库 一款开源的HTAP数据库: • MPP架构 • 完整的事务+ACID+标准SQL支持 • 支持上千个节点的部署 支持上千个节点的部署 • 支持PB级文件 • 丰富的ETL和外部组件 • 支持Python/R/Java直接访问处理数据库数据 • https://github.com/greenplum-db/gpdb GPDB GPDB的数据安全 用户 • 连接数据库 • 运行业务 DBA • 管理数据库 • 业务审计 System Admin • 管理集群 • 数据备份恢复 运行模式 管理集群 • 数据备份恢复 需要登录到系统进行运维 • 可以访问数据库二进制文件 • 可以访问数据库数据文件 • 可以访问预写日志文件 潜在风险（二） GPDB的数据安全 System Admin • 管理集群 • 数据备份恢复 运维模式 • 原厂服务，主机厂或者第三方运维 数据文件为明文二进制文件 • 直接通过Linux自带工具（strings, hexdump）访问 •

39 不支持项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40 3.8 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40 3.8.1 背景 . . . . 259 负载均衡算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 262 加密算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 264 影子算法 . . . 11.3 已知实现 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 295 5.12 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 295 5.12.1 EncryptAlgorithm

41 不支持项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42 8.7 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42 8.7.1 背景 . . . . 416 负载均衡算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 417 加密算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 419 影子算法 . . . viii 已知实现 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 450 10.6 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 450 10.6.1 EncryptAlgorithm

41 不支持项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42 8.7 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42 8.7.1 背景 . . . . 389 负载均衡算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 390 加密算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 391 影子算法 . . . 424 已知实现 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 424 10.6 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 424 10.6.1 EncryptAlgorithm

41 不支持项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42 8.7 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42 8.7.1 背景 . . . . 371 负载均衡算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 372 加密算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 373 影子算法 . . . 403 已知实现 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 403 10.6 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 403 10.6.1 EncryptAlgorithm

55 不支持项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55 4.8 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55 4.8.1 背景 . . . . 119 负载均衡算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 119 加密算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 120 影子算法 . . . 1 SQLChecker . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 219 6.13 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 219 6.13.1 EncryptAlgorithm

56 不支持项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56 4.8 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56 4.8.1 背景 . . . . 122 负载均衡算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 123 加密算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 123 影子算法 . . . . . . 198 区分同一日志中的 database 和用户 . . . . . . . . . . . . . . . . . . . . . . . . . . 199 拆分为不同的日志文件 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 199 5.2.5 Scaling . . . . . . . .

54 不支持项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55 4.8 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55 4.8.1 背景 . . . . 118 负载均衡算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 118 加密算法 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 119 影子算法 . . . 1 SQLChecker . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 214 6.13 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 214 6.13.1 EncryptAlgorithm

75 不支持项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75 3.6 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75 iii 3.6 . . . . . . . . . . . . . . . . . . . . . . . . . . 80 中间件加密服务优势 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 84 加密算法解析 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5.5.1 ReplicaLoadBalanceAlgorithm . . . . . . . . . . . . . . . . . . . . . . . . . . . 276 5.6 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 277 5.6.1 EncryptAlgorithm

56 不支持项 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56 4.7 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56 4.7.1 背景 6.5.1 ReplicaLoadBalanceAlgorithm . . . . . . . . . . . . . . . . . . . . . . . . . . . 216 6.6 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 217 6.6.1 EncryptAlgorithm . 255 规则切换阶段 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 255 7.4 数据加密 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 255 7.4.1 处理流程详解