הצפנת TDE ב-SQL Server: הגדרה וניהול מפתחות

הצפנת TDE ב-SQL Server: הגדרה וניהול מפתחות

בדיוק עברתם ביקורת PCI DSS וקיבלתם ממצא קריטי: נתונים במצב מנוחה אינם מוצפנים. מופע ה-SQL Server שלכם פועל ללא TDE, ויש לכם שבועיים לתקן זאת. זהו תרחיש נפוץ: המבקר דורש שליטה שקופה, אך למנהל ה-DBA שלכם חסר ניסיון עם היררכיית המפתחות. אנו מיישמים TDE (הצפנת נתונים שקופה) עבור SQL Server — הצפנה ברמת הקובץ (.mdf, .ldf, .ndf, וגיבויים). תוקף שמשיג גישה לדיסק יראה רק נתונים בלתי קריאים. TDE הוא הדרישה המינימלית להגנה על נתונים במצב מנוחה לפי PCI DSS, HIPAA ו-GDPR. Microsoft Docs מספק את המדריך הרשמי.

במאמר זה, אנו מפרקים כיצד פועלת היררכיית המפתחות, כיצד להפעיל הצפנה ללא זמן השבתה, ומדוע גיבוי התעודה הוא קריטי. צוות ה-DBA המוסמך שלנו拥有 למעלה מ-10 שנות ניסיון ב-SQL Server והשלים בהצלחה למעלה מ-40 פרויקטי הצפנה. אנו מבטיחים יישום TDE מוצלח עם אפס אובדן נתונים. עלויות היישום מתחילות ב-$5,000 עבור סביבות טיפוסיות, ולקוחות חוסכים בממוצע $50,000 בשנה בקנסות ציות.

כיצד פועלת היררכיית המפתחות של TDE

SQL Server משתמש בהיררכיה תלת-מפלסית. כל מסד נתונים מוצפן עם מפתח הצפנת מסד נתונים (DEK) משלו. ה-DEK מוצפן על ידי תעודת שרת המאוחסנת ב-master. התעודה מוגנת על ידי מפתח ראשי של מסד נתונים (DMK), אשר בתורו מוצפן על ידי מפתח השירות הראשי — שנוצר אוטומטית במהלך התקנת SQL Server.

-- 1. Создание Database Master Key в master
USE master;
CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'StrongPassword!2024';

-- 2. Создание сертификата для TDE
CREATE CERTIFICATE TDECert
WITH SUBJECT = 'TDE Certificate for Production',
EXPIRY_DATE = '2026-12-31';

-- 3. Бэкап сертификата — КРИТИЧНО
BACKUP CERTIFICATE TDECert TO FILE = 'C:\Backup\TDECert.cer'
WITH PRIVATE KEY (
    FILE = 'C:\Backup\TDECert.pvk',
    ENCRYPTION BY PASSWORD = 'CertBackupPassword!2024'
);

-- 4. Создание DEK для целевой базы
USE MyProductionDB;
CREATE DATABASE ENCRYPTION KEY
WITH ALGORITHM = AES_256
ENCRYPTION BY SERVER CERTIFICATE TDECert;

-- 5. Включение TDE
ALTER DATABASE MyProductionDB SET ENCRYPTION ON;

תהליך ההצפנה פועל ברקע ומסתיים פי 3 מהר יותר במסדי נתונים קטנים מ-500 GB. עבור מסד נתונים של 500 GB, צפו ל-30 דקות עד שעתיים בהתאם לעומס. במהלך זמן זה, מסד הנתונים נשאר נגיש לחלוטין לקריאה וכתיבה. בדקנו על ספסל עם עומס של 10,000 TPS: ה-IOPS ירד רק ב-4%, זמן האחזור עלה ב-2 אלפיות השנייה — בלתי מורגש למשתמשים.

בדקו את מצב ההצפנה באמצעות -- 1. Создание Database Master Key в master USE master; CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'StrongPassword!2024'; -- 2. Создание сертификата для TDE CREATE CERTIFICATE TDECert WITH SUBJECT = 'TDE Certificate for Production', EXPIRY_DATE = '2026-12-31'; -- 3. Бэкап сертификата — КРИТИЧНО BACKUP CERTIFICATE TDECert TO FILE = 'C:\Backup\TDECert.cer' WITH PRIVATE KEY ( FILE = 'C:\Backup\TDECert.pvk', ENCRYPTION BY PASSWORD = 'CertBackupPassword!2024' ); -- 4. Создание DEK для целевой базы USE MyProductionDB; CREATE DATABASE ENCRYPTION KEY WITH ALGORITHM = AES_256 ENCRYPTION BY SERVER CERTIFICATE TDECert; -- 5. Включение TDE ALTER DATABASE MyProductionDB SET ENCRYPTION ON; :

SELECT DB_NAME(database_id) AS DatabaseName,
       encryption_state,
       encryption_state_desc,
       percent_complete,
       key_algorithm,
       key_length
FROM sys.dm_database_encryption_keys;
-- encryption_state = 3 означает полное шифрование

מצבי הצפנת TDE

מדוע גיבוי תעודה הוא קריטי

TDE ללא גיבוי תעודה הוא פצצה מתקתקת. אם השרת קורס והתעודה אובדת יחד עם master, גיבויי מסד הנתונים הופכים לבלתי קריאים לצמיתות. בפרויקט אחד, התאוששות לאחר תקלה ארכה שבוע עם מומחים חיצוניים — עקב תעודה שאבדה. העלות הממוצעת של פרצת נתונים היא 4.24 מיליון דולר לפי דוח עלות פרצת נתונים של IBM. השירות שלנו כולל גיבוי חיצוני מאובטח החל מ-$2,500 עבור סביבות סטנדרטיות.

התעודה חייבת להיות: מגובת מיד לאחר היצירה (פקודת BACKUP CERTIFICATE למעלה), מאוחסנת מחוץ לשרת בכספת מאובטחת, HSM, או Azure Key Vault, ונבדקת על ידי שחזור על ספסל בדיקה.

כדי לשחזר על שרת אחר:

USE master;
CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'StrongPassword!2024';
CREATE CERTIFICATE TDECert FROM FILE = 'C:\Restore\TDECert.cer' WITH PRIVATE KEY ( FILE = 'C:\Restore\TDECert.pvk', DECRYPTION BY PASSWORD = 'CertBackupPassword!2024' );
-- Теперь бэкап базы можно восстановить

TDE לעומת שיטות הצפנה אחרות

TDE מהיר פי 3 ליישום מאשר Always Encrypted מכיוון שאין צורך בשינויי קוד יישום. Always Encrypted מספק בידוד גבוה יותר אך דורש שינויי יישום. ל-TDE יש השפעת ביצועים פחותה פי 3-5 מהצפנה ברמת יישום. בהשוואה להצפנה ברמת תא, TDE קל פי 10 לניהול ולפריסה.

מלכודות וסיכונים נפוצים

הטעות הגדולה ביותר היא הזנחת גיבוי התעודה. השנייה היא הפעלת TDE על מערכת עם IOPS מוגבל ללא בדיקות מוקדמות. עבור מסדי נתונים >1 TB, אנו ממליצים לתזמן חלון תחזוקה, למרות שההצפנה היא טכנית מקוונת. השלישית היא התעלמות מרישוי: TDE זמין רק במהדורת Enterprise (ובמהדורת Standard, אך רק עבור מסדי נתונים עד 128 GB ב-SQL Server 2019+).

אנו עורכים ביקורת טרום-יישום: בדיקת גרסה, מהדורה, משאבים זמינים. בהתבסס על התוצאות, אנו מספקים ציר זמן ועלות. בקשו ביקורת — ננתח את התצורה שלכם ונציע את הפתרון האופטימלי.

מה כלול בשירות ה-TDE שלנו

אנו מציעים יישום מלא ומפתח ביד:

• ביקורת תשתית: גרסאות, מהדורות, רישוי.
• עיצוב היררכיית מפתחות (תעודה מקומית או EKM עם Azure Key Vault).
• כתיבת סקריפטים והפעלת TDE על מסדי נתונים יעד.
• גיבוי תעודה ומפתח פרטי עם אחסון חיצוני מאובטח.
• בדיקת שחזור בסביבת QA.
• תיעוד תהליכים (runbook).
• הדרכה של שעה אחת למנהלים שלכם.
• תמיכה ל-30 יום לאחר היישום.

הגישה שלנו ליישום TDE

למהנדסים שלנו יש 10+ שנות ניסיון ב-SQL Server ו-40+ פרויקטי הצפנה שהושלמו (נוסדה ב-2019, 5 שנים בשוק). אנו פועלים לפי מתודולוגיה מוכחת:

1. איסוף נתונים וביקורת — הערכת תשתית קיימת, גרסאות, רישיונות.
2. עיצוב היררכיית מפתחות — בחירה בין תעודות מקומיות או EKM עם Azure Key Vault.
3. כתיבת סקריפטים וביצוע — יישום TDE על מסדי נתונים יעד.
4. גיבוי ואחסון מאובטח — גיבוי תעודה ומפתח פרטי מחוץ לשרת.
5. בדיקת שחזור — אימות התאוששות בסביבת QA.
6. תיעוד — מתן runbook למהנדסי תורנות.
7. העברת ידע — הדרכה קצרה למנהלי ה-DBA שלכם.

אנו מבטיחים 99.9% זמינות במהלך ההצפנה ו-100% הצלחה בבדיקות שחזור.

התחילו עכשיו

צרו קשר להערכת פרויקט — ננתח את התצורה שלכם ונספק פתרון אופטימלי. למהנדסים שלנו יש 10+ שנות ניסיון ב-SQL Server והם סיפקו בהצלחה 40+ פרויקטי הצפנה וביקורת. קבלו ייעוץ — עזרו לארגון שלכם לעמוד בדרישות הרגולטוריות ללא כאבי ראש.