我们是一家为客户托管应用程序和数据的小型企业。我们的一些客户要求我们使用“静态加密”来保护他们的数据 - 尽管他们并不清楚这到底意味着什么。
数据当前位于运行 SQL Server Standard 的 Azure VM 上。
一个选择是使用 TDE，但这仅在 SQL Enterprise 中可用，而且额外的许可成本对我们来说相当可观。
另一种是在现有的 SQL 标准 VM 上免费使用 Azure 磁盘加密。
在向客户保证其数据处于静态加密状态时，使用 TDE 和磁盘加密的结果是否存在实际差异。
我应该考虑哪些差异？
答案1
威胁在于有人可以访问和/或复制组成 SQL 数据库的文件并将其加载到另一个 SQL 服务器中，从而绕过前端应用程序和 SQL 服务器本身通常施加的所有访问控制。
磁盘加密可以防止硬件被盗或错误处置/退役等情况下的此类访问，以及在云环境中防止其他人未经授权访问完整的虚拟磁盘映像。
由于磁盘加密对于物理和虚拟运行服务器上的进程和用户都是透明的（不可见的），因此它无法防止由正在运行的操作系统施加的正常访问控制和文件系统权限允许或绕过的（未经授权的）数据访问。
这就是 TDE 和类似的应用程序级加密增加额外安全性的地方：即使您可以访问文件系统上的文件，但如果没有应用程序加密/解密密钥，您仍然无法访问其中的数据。
如果启用 TDE 的成本过高，组织通常会进行风险评估并记录任何现有和新措施，以充分保护数据，减轻数据泄露的风险并接受任何剩余风险。
答案2
透明数据加密这实际上就是所谓的静态数据加密。
TDE 的工作原理是对数据和日志文件（“静态”数据）进行实时 I/O 加密和解密。数据库加密密钥 (DEK) 存储在数据库引导记录中，以便在恢复期间使用。DEK 是使用存储在服务器主数据库中的证书保护的对称密钥或受 EKM 模块保护的非对称密钥。
全盘加密正在加密虚拟机的整个磁盘。这意味着磁盘上的所有内容，而不仅仅是 SQL 数据库。
这就是区别所在：所有内容与仅限数据库。由于客户端要求数据库加密，因此这两种方式中的任何一种都是有效的，而且由于您可以免费使用 Azure 磁盘加密，因此您可以这样做。
答案3
所有 Azure 托管磁盘都默认通过以下方式加密服务器端加密，这属于基本的“静态数据加密”。
这是否足够取决于威胁模型和相对风险评估。