数据落盘即加密、应用零改造：一文读懂 TDE 透明数据加密（国密 SM4）

一、为什么传统访问控制挡不住“数据被拿走”

无论你给数据库账号设了多少权限、防火墙做得多厚，只要攻击者或内鬼拿到了数据文件本身，前面所有努力都归零。数据存储面临四大威胁：

• 黑客拖库：APT 攻击、勒索软件渗透服务器后，直接复制数据库文件，明文库被打包带走；
• 内部人员泄露：DBA、运维拥有 Root/SA 最高权限，可绕过应用层直接读底层数据文件；
• 云管理员访问：ECS 云服务器中，云厂商管理员在技术层面可访问租户数据，数据主权存疑；
• 备份/磁盘泄露：离线磁盘、备份文件、镜像快照被非法获取后，明文数据一览无余。

传统方案（应用层权限、网络隔离）管的是“谁能连进来”，但管不了“文件被拷走后能不能看懂”。TDE 补上的正是这一环：让落盘的数据从根上就是密文。

二、TDE 透明加密的工作原理

TDE 工作在操作系统驱动层，在应用和磁盘之间插入一道“加解密闸门”：

1. 授权应用程序正常发起读写（业务账号、授权进程），操作体验毫无变化；
2. TDE 驱动层拦截每一次 I/O 请求，验证进程签名后，写入时自动加密、读取时自动解密；
3. 密文存储：文件 / 数据库以密文形式落盘，被盗取后无法解读；
4. KSP + HSM：加密密钥由 KSP 国密密钥管理系统统一调度，根密钥由 HSM 硬件加密机保护，永不外泄。

关键防护点在于：勒索软件、黑客工具、Root/SA 高权限账号、云管理员，在 TDE 视角下都是“未授权进程”，只能看到密文——无法读取、无法复制、无法二次加密勒索。

三、为什么能做到“0 行代码改造”

这是 TDE 区别于其他加密方案的最大优势。应用通过系统调用读写文件时，TDE 驱动自动完成加解密，应用感知不到任何变化：

• 不需要修改任何应用代码、SQL、连接字符串；
• 不改变用户操作习惯；
• 支持 Windows / Linux / 麒麟 / 统信等国产操作系统；
• 数据库与文件服务器均适用。

对比一下其他方案：服务器密码机需要应用改造、数据库加密网关一般只控数据库账号、存储加密服务器多为硬件盒子且无法软件部署。TDE 在“应用免改造 + 软件化部署”上几乎独占优势。

四、性能与安全并重

很多人担心驱动层加解密会拖慢业务，实测数据可以打消顾虑：

• 驱动层加解密速度高达45 Gb/s；
• 数据库整体性能影响< 3%；
• 支持 CPU 硬件加速指令（AES-NI / SM4 加速）；
• 白盒技术保障内存中数据安全。

同时具备细粒度账号权限：业务账号可读写明文、运维账号仅能复制（看到密文）、Admin/Root 被限制为禁止打开，实现“同一系统、不同权限”。

五、密钥从哪来？和 KSP/HSM 的关系

TDE 只负责“加解密动作”，密钥的全生命周期（生成、存储、轮换、备份、审计）交给 KSP 密钥管理系统，根密钥再放进 HSM 硬件加密机。这种“加密引擎 + 密钥中枢”的分工，既保证了透明无感，又满足了国密二级认证与可审计要求。

小结

如果你正在评估数据库加密，又不想动业务代码，TDE 透明加密是最平滑的切入点：落盘即密、应用无感、高权限账号失效。下一篇我们拆解它如何具体防住“拖库、内鬼、云管理员”这三类最棘手的泄露路径。

本文基于安当 TDE 透明加密产品资料整理，产品通过国家密码管理局商用密码检测认证二级（GM/T 0028），支持国密 SM4 与国际 AES-256 算法。