您现在的位置：程式碼之家 >> 數據庫知識 > >> Oracle 資料庫 >> Oracle 資料庫基礎

Oracle Spatial 空間資料加密實作：從基礎到硬體綁定的進階方案

編輯：Oracle 資料庫基礎

前言

Oracle Spatial 提供強大的空間資料儲存與查詢能力，但敏感空間資料（如軍事設施、管線網路、專利幾何）需防範未授權存取。利用 Oracle 9i Release 2 的新特性——自定義回傳物件型別函數、Java/C 外部程序，可實現從應用層到硬體層的多層次空間資料加密。本文詳細解析兩種加密方案的架構與實作要點。

Oracle 9i R2 關鍵新特性支撐

自定義物件型別回傳函數：可回傳 SDO_GEOMETRY 型別，直接作為空間查詢的幾何欄位來源
Java/C 儲存程序：在資料庫內執行複雜加密演算法，效能優於 PL/SQL

方案一：基礎應用層加密

架構原理

資料庫儲存加密後的 BLOB（或其他型別）
建立回傳 SDO_GEOMETRY 的 PL/SQL 函數
函數接收客戶端傳入的金鑰參數
解密 BLOB 還原為 SDO_GEOMETRY 並回傳

實作步驟

-- 1. 儲存表：僅存加密 BLOB
CREATE TABLE spatial_encrypted (
  id       NUMBER PRIMARY KEY,
  geom_enc BLOB,           -- 加密後的 SDO_GEOMETRY
  meta     VARCHAR2(200)   -- 元資料：SRID、加密演算法版本等
);

-- 2. 解密函數
CREATE OR REPLACE FUNCTION decrypt_spatial(
  p_id  IN NUMBER,
  p_key IN VARCHAR2       -- 客戶端提供的金鑰
) RETURN SDO_GEOMETRY
AS
  v_blob   BLOB;
  v_geom   SDO_GEOMETRY;
BEGIN
  SELECT geom_enc INTO v_blob FROM spatial_encrypted WHERE id = p_id;
  -- 呼叫加密套件解密（略），還原為 SDO_GEOMETRY
  v_geom := crypto_pkg.decrypt_to_sdo(v_blob, p_key);
  RETURN v_geom;
END;

查詢使用

SELECT id, decrypt_spatial(id, 'client_secret_key') AS geometry
FROM spatial_encrypted
WHERE SDO_RELATE(decrypt_spatial(id, 'client_secret_key'), :window_mask) = 'TRUE';

優缺點分析

優點	缺點
實作簡單，純 PL/SQL 即可完成	金鑰在網路傳輸與應用端記憶體暴露風險
相容性好，無需額外編譯環境	PL/SQL 加密效能較低，不適合大量即時查詢
金鑰管理彈性，可整合應用現有體系	資料庫內部人員（DBA）仍可讀取 BLOB 嘗試破解

方案二：進階硬體綁定雙重金鑰加密

核心概念：雙因子解密

伺服端金鑰：由 C 程式讀取硬體特徵碼（CPU ID、主機板序號、MAC 等）運算產生
客戶端金鑰：應用系統分發給合法用戶的動態金鑰
最終金鑰 = HASH(伺服端金鑰 || 客戶端金鑰)，雙方缺一不可

實作架構

C 外部程序編譯為共享庫
Oracle 建立 LIBRARY 物件指向該庫
建立 PL/SQL 封裝函數映射 C 函數
C 函數內部：讀取硬體碼 → 產生伺服端金鑰 → 接收客戶端金鑰 → 組合解密

關鍵 C 程式碼片段

/* decrypt_spatial.c - 簡化示意 */
#include 
#include 
#include 

/* 取得硬體特徵碼（平台相關，此處略） */
char* get_hardware_fingerprint() {
    static char hw_id[64];
    /* 讀取 CPU ID、BIOS 序號等 */
    return hw_id;
}

/* 產生伺服端金鑰 */
void gen_server_key(char* out_key) {
    char* hw = get_hardware_fingerprint();
    SHA256(hw, strlen(hw), out_key);  /* 使用 OpenSSL 或自行實作 */
}

/* OCI 外部程序進入點 */
OCIExtProcRaiseExcpWithMsg(ctx, errhp, 0, "Decryption failed");

SDO_GEOMETRY* decrypt_spatial_oci(
    OCIExtProcContext* ctx,
    OCILobLocator* encrypted_blob,
    char* client_key,
    short* client_key_ind
) {
    char server_key[32], final_key[64];
    gen_server_key(server_key);
    sprintf(final_key, "%s%s", server_key, client_key);
    SHA256(final_key, strlen(final_key), final_key);

    /* 解密 BLOB 並構建 SDO_GEOMETRY 物件回傳 */
    /* 需使用 OCI 操作 LOB 並填充 SDO_GEOMETRY 結構體 */
    return constructed_sdo_geometry;
}

Oracle 端註冊

-- 1. 建立 Library
CREATE OR REPLACE LIBRARY spatial_lib AS '/u01/app/oracle/lib/decrypt_spatial.so';

-- 2. 發布 C 函數
CREATE OR REPLACE FUNCTION decrypt_spatial_c(
  p_blob   IN BLOB,
  p_key    IN VARCHAR2
) RETURN SDO_GEOMETRY
AS LANGUAGE C
NAME "decrypt_spatial_oci"
LIBRARY spatial_lib
WITH CONTEXT
PARAMETERS (
  CONTEXT,
  p_blob   OCILobLocator,
  p_blob   INDICATOR SHORT,
  p_key    STRING,
  p_key    INDICATOR SHORT,
  RETURN   OCIOBJECT,
  RETURN   INDICATOR SHORT
);

安全性優勢

資料庫被盜（備份檔、Data Pump）無法解密，缺少伺服端硬體
客戶端金鑰洩露無法單獨解密，需同時擁有授權伺服器
支援硬體變更時的金鑰輪換機制（重新加密資料）
DBA 權限也無法繞過硬體綁定解密

效能與部署考量

維度	方案一	方案二
開發難度	低	高（需 C/OCI 專業）
查詢延遲	中（PL/SQL 解密）	低（C 原生解密）
部署複雜度	低	中（需編譯部署 so/dll）
安全等級	應用層	硬體綁定軍規級
金鑰輪換	易	需重新加密全庫