Oracle Database Security – Criptografia e Descriptografia

Sistemas de criptografia

• Livro de Código Eletrônico (CHAIN_ECB):cada bloco é criptografado independentemente do resto dos blocos. A desvantagem é que se pode identificar padrões repetitivos no fragmento de texto.
  
• Encadeamento de blocos de cifra (CHAIN_CBC):para cada bloco, antes da criptografia, é aplicado um operador XOR com um vetor. Para o primeiro bloco da sequência, é usado um vetor de inicialização, enquanto para um bloco do restante da sequência, o resultado da criptografia do bloco anterior é usado como vetor de bits
  
• Comentários de criptografia (CHAIN_CFB):é semelhante ao CBC, exceto pelo fato de que o operador XOR é aplicado após a criptografia do bloco.
  
• Feedback de saída (CHAIN_OFB):é semelhante ao CFB, exceto pelo fato de que o resultado do bloco anterior é criptografado antes da aplicação do operador XOR
  

GRANT EXECUTE  ON dbms_crypto TO username;

dbms_crypto.encrypt(
clear_text IN RAW,
operating_mode IN PLS_INTEGER,
key IN RAW,
initialization_vector IN RAW DEFAULT NULL)
RETURN RAW;

dbms_crypto.decrypt(
clear_text IN RAW,
operating_mode IN PLS_INTEGER,
key IN RAW,
initialization_vector IN RAW DEFAULT NULL)
RETURN RAW;

create or replace PROCEDURE encryption(text IN VARCHAR2, encrypted text OUT VARCHAR2) AS  
raw_set RAW(100);  
raw_password RAW(100);  
encryption_result RAW(100);  
encryption_password VARCHAR2(100) := '[email protected]%5,:QxV';  
operation_mode NUMBER; 
    BEGIN    
        raw_set:=utl_i18n.string_to_raw(text,'AL32UTF8');    
        raw_password := utl_i18n.string_to_raw(encryption_password,'AL32UTF8');        
        operation_mode:=DBMS_CRYPTO.ENCRYPT_DES + DBMS_CRYPTO.PAD_ZERO + DBMS_CRYPTO.CHAIN_ECB;        
        encryption_result:=DBMS_CRYPTO.ENCRYPT(raw_set,operation_mode,raw_password);           
        dbms_output.put_line(encryption_result);    
        encryptedtext := RAWTOHEX (encryption_result);  
END; 

variable result_encryption varchar2(200) 
exec encryption('Text to be encrypted', :result_encryption); 
print result_encryption

create or replace PROCEDURE decryption (encrypted_text IN VARCHAR2, decrypted_text OUT VARCHAR2) AS   
raw_set RAW(100);   
raw_password RAW(100);   
decryption_result RAW(100);   
decryption_password VARCHAR2(100) := '[email protected]%5,:QxV';   
operation_mode NUMBER; 
    BEGIN   
        raw_set:=HEXTORAW(encrypted_text);   
        raw_password :=utl_i18n.string_to_raw(decryption_password,'AL32UTF8');   
        operation_mode:=DBMS_CRYPTO.ENCRYPT_DES + DBMS_CRYPTO.PAD_ZERO + DBMS_CRYPTO.CHAIN_ECB;      
        decryption_result:=DBMS_CRYPTO.DECRYPT(raw_set,operation_mode,raw_password);   
        dbms_output.put_line(decryption_result);   
        decrypted_text := utl_i18n.raw_to_char (decryption_result,'AL32UTF8'); 
    END;  
variable result_decryption varchar2(200) 
exec decryption(:result_encryption,:result_decryption) 
print result_decryption 

Desafios de criptografia de dados

• no nível do banco de dados:armazenado no banco de dados (em uma tabela especial) ou em um arquivo de banco de dados externo
• no nível de registro:armazenado no banco de dados (em uma tabela especial)
• uma combinação entre os dois tipos anteriores:existe uma chave mestra no nível do banco de dados e para cada registro, existe uma chave. Uma chave híbrida é usada para criptografia e descriptografia:hybrid_key =master_key XOR record_key (para a função XOR, existe uma função PL/SQL – UTL_RAW.bit_xor).

ALTER TABLE accont MODIFY (card_series ENCRYPT USING 'AES128');
ALTER TABLE accont MODIFY (balance ENCRYPT USING 'AES128');

• obtendo o mestre Key_Master da carteira externa
• descriptografia da chave privada, Key_, usando a chave mestra
• criptografia dos dados a serem inseridos usando a chave privada, Key_
• armazenando os dados criptografados nas colunas da tabela

• obtendo a chave mestra, Key_Master, da carteira externa
• descriptografia da chave privada, Key_, usando a chave mestra
• descriptografia dos dados usando a chave privada, Key_
• retornando o resultado

DBMS_CRYPTO.Hash (
original_set IN RAW,
operation_mode IN PLS_INTEGER) 
RETURN RAW;
where operation_mode is either                        
DBMS_CRYPTO.HASH_MD5 or DBMS_CRYPTO.HASH_SH1

set serveroutput on
DECLARE
credit_card_no VARCHAR2(19) := '1234-5678-1234-5678';
credit_card_no_raw RAW(128) := utl_raw.cast_to_raw(credit_card_no);
encrypted_raw RAW(2048);
BEGIN
  encrypted_raw:=dbms_crypto.hash(credit_card_no_raw, dbms_crypto.hash_md5);
  dbms_output.put_line('MD5: ' || encrypted_raw);
END;

Criptografia de dados indexados

Conclusão

Referências:

1. Desenvolvendo aplicativos usando criptografia de dados
2. Feuerstein Steven (2009) Programação Oracle PL/SQL (5ª edição). Editora O'Reilly. ISBN 978-0-596-51446-4. Capítulo 23 "Segurança de aplicativos e PL/SQL"
3. Modo de operação de cifra de bloco