Oracle网络传输的加密和完整性验证

转自 http://blog.itpub.net/24052272/viewspace-2129175/

测试环境：

11.2.0.4 winodows  单机

应用场景：

对oracle服务器和客户端之间的网络传输数据进行加密和完整性校验。

默认是使用明文方式传输数据，举例可以通过wireshark、sniffer等网络抓包工具抓取到传输的具体信息。

对于敏感信息是很不安全的。

举例：

对于汉字可以通过很多在线转换工具将HEX编码转换成可读汉字。

对于了解业务的人来说，这些信息是很有价值的。

客户端存在两种模式：

1、通过oracle客户端软件连接数据库

2、通过jdbc驱动连接oracle数据库

通过oracle客户端的情况：

启用传输加密和校验的主要方法是通过服务器端和客户端的sqlnet.ora文件实现。

配置方法：
理论上需要在数据库server端和oracle客户端都修改sqlnet.ora文件，但因为client端默认传输加密级别是ACCEPTED，默认一致性校验级别是ACCEPTED，所以只需要在服务器端设置如下参数就可以打开传输加密和一致性校验功能，而不需要再对client端的sqlnet.ora进行设置（知识拓展部分介绍）。

在oracle服务器端编辑sqlnet.ora文件，添加参数：
SQLNET.ENCRYPTION_SERVER = REQUIRED               ----加密级别
SQLNET.ENCRYPTION_TYPES_SERVER = RC4_256      ----加密算法
SQLNET.CRYPTO_CHECKSUM_SERVER = REQUIRED     --- 一致性能校验

设置参数后对新建立的session起作用。

加密后抓取的包不再是明文的：


对于jdbc连接的情况：
需要写代码，不是很懂，不做验证，大体格式如下：
For example:

DriverManager.registerDriver(new oracle.jdbc.driver.OracleDriver());
Properties props = new Properties();
props.put("oracle.net.encryption_client", "accepted");
props.put("oracle.net.encryption_types_client", "RC4_128");

props.put("oracle.net.crypto_checksum_client", "REQUIRED");                //此行根据官方文档写，未作验证

props.put("oracle.net.crypto_checksum_types_client","MD5");             //此行根据官方文档格式写，未作验证

props.put("user", "XXX"); props.put("password", "YYY"); Connection conn = DriverManager.getConnection("jdbc:oracle:thin:@myhost:1521:mySID", props);

知识拓展：
server端和client端的加密级别参数SQLNET.ENCRYPTION_SERVER|CLIENT
级别分

• REQUESTED

• REQUIRED

• ACCEPTED

• REJECTED

 server和client  要配合使用才能确保进行传输加密，简单概括如下表格：

Table 4-2 Encryption and Data Integrity Negotiations

一致性校验也分四中级别：
 SQLNET.CRYPTO_CHECKSUM_SERVER|CLIENT

• REQUESTED

• REQUIRED

• ACCEPTED

• REJECTED

同样需要配合使用。

参数解释：
SQLNET.CRYPTO_CHECKSUM_CLIENT。默认设置为ACCEPTED。


参数


    ACCEPTED - 客户端不请求使用校验和，但是如果服务器请求校验和，则请求。兼容的服务器参数为REJECTED，REQUESTED和REQUIRED。
    REJECTED - 客户端不支持使用校验和。兼容的服务器参数为REJECTED，ACCEPTED和REQUESTED。
    REQUESTED - 客户端喜欢使用校验和，但是如果服务器拒绝它们的使用，则不强制该问题。兼容的服务器参数是ACCEPTED，REQUESTED和REQUIRED。
    REQUIRED - 客户端要求使用校验和，否则不连接。兼容的服务器参数是ACCEPTED，REQUESTED和REQUIRED。

 


SQLNET.CRYPTO_CHECKSUM_SERVER。默认设置为ACCEPTED。


参数


    ACCEPTED - 服务器不请求使用校验和，但如果客户端请求它们，请继续。兼容的服务器参数有：REJECTED，REQUESTED和REQUIRED。
    REJECTED - 服务器根本不支持使用校验和。兼容的客户端参数为REJECTED，ACCEPTED和REQUESTED。
    REQUESTED - 服务器更喜欢使用校验和，但是如果客户端拒绝它们的使用，则不强制该问题。兼容的客户端参数是ACCEPTED，REQUESTED和REQUIRED。
    REQUIRED - 服务器要求使用校验和，否则不连接。兼容的客户端参数是ACCEPTED，REQUESTED和REQUIRED。

对性能的影响：

既然要 加密和解密就势必会占用一定的性能资源，但影响不大，下图是一个测试结果，摘自http://www.orafaq.com/wiki/Network_Encryption  

参考文档：
http://docs.oracle.com/cd/B19306_01/network.102/b14268/asoconfg.htm#BBJBIECD

http://docs.oracle.com/cd/B19306_01/network.102/b14268/asojbdc.htm#i1006209

http://www.orafaq.com/wiki/Network_Encryption

http://www.toadworld.com/platforms/oracle/w/wiki/1719.sqlnet-ora-parameters