GSS資安電子報0050期【企業資料加密解決方案 –SafeNet Tokenization 簡介】

撰稿：叡揚資訊資訊安全事業處 專業顧問

上一次我們介紹了SafeNet企業資料加密解決方案中，有關資料庫加密的解決方案(SafeNet Protect DB簡介)。SafeNet資料庫加密的最小單位是欄位(Column)，可以針對不同敏感性的欄位資料，設定不同的加密金鑰、加密演算法以及敏感性資料負責人。但若欄位的敏感性資料被拿來當作是Primary Key(主鍵)、Index Key(索引鍵)，則使用資料庫加密即會遇到瓶頸，其最主要的原因就在於，加密之後的密文(cyphertext)長度改變了。

SafeNet Tokenization的應用之一，就是可以應用在資料庫敏感性資料欄位被用來做primary key或index時的解決方案。SafeNet Tokenization是以Token(標記化)方式來處理，所謂Token，就是提供一組與原始資料具有相同資料格式的代碼，用來替換原來的敏感性資料。以身份證號碼為例，假設有一組身份證號碼為A123456789，經過SafeNet Tokenization取得另一組代碼為B125321123，此代碼即代表了A123456789，在資料存取過程中，身份證號皆以B125321123代替，當應用系統真正需要身份證號碼資料時，再透過Tokenization將B125321123 detoken回原來的身份證號A123456789。

建置Tokenization需要以下的作業環境：

1. DataSecure：負責接收Tokenization Manager傳過來的敏感性的資料進行加密及解密
2. Tokenization Manager：產生一組敏感性資料的Token，用以取代真正的敏感性資料。Tokenization manager會將敏感性資料傳給DataSecure加密，並產生一組Token回應給Application，並建立敏感性資料與Token的對應關係。
3. Application：透過Web services或API方式，將敏感性資料傳送給Tokenization Manager以取得相對應之Token，或將Token傳送給Tokenization Manager，以detoken回原始資料。

DataSecure即是SafeNet資料加解密的核心，是一個符合FIPS 140-2及Common Critical EAL 2認證的資料加解密硬體設備，先前介紹過的資料庫加密解決方案ProtectDB，也是以此設備進行資料加解密。

Tokenization Manager是獨立的一台伺服器，支援的平台有Windows與Linux，Tokenization Manager需安裝一個資料庫，用以儲存敏感性資料密文與Token之對應關係，目前支援的資料庫平台有SQL Server2005 / 2008與Oracle 10g / 11g。

應用系統可透過web service或API與Tokenization Manager進行溝通，目前支援的Web與Application包含Oracle, IBM, BEA, J2EE, Apache, Sun ONE, JBoss等。若以web service方式存取服務，web server支援Tomcat and Axis，若以API方式進行呼叫，應用系統必須是JVM 1.4, 1.5, or 1.6環境。

接下來將介紹SafeNet Tokenization運作方式說明如下：

1. 敏感性資料加密及取得Token
   1. 應用系統將敏感性資料PAN (Personal Account Number)傳送到Tokenization Manager。
   2. Tokenization Manager向DataSecure取得加密金鑰請求，並取得DataSecure所傳回之Encryption Key。
   3. Tokenization Manager使用該Encryption Key將敏感性資料加密，並將加密後的資料儲存於資料庫中。另外，Tokenization Manager也對敏感性資料產生一組相同資料格式之Token，並建立與敏感性資料對應關係，亦一併儲存於資料庫中。
   4. Tokenization Manager將敏感性資料對應之Token回傳給應用系統。

2. 透過Token取得原始之敏感性資料
   1. 應用系統將Token傳送到Tokenization Manager。
   2. Tokenization Manager根據Token找出相對應的Encryption Key。
   3. Tokenization Manager向DataSecure請求該相對應的Encryption Key，並取得DataSecure所傳回之Encryption Key。
   4. Tokenization Manager依據Token找出敏感性資料密文，並使用該Encryption Key將敏感性資料解密。
   5. Tokenization Manager將Token對應之敏感性資料回傳給應用系統。

SafeNet Tokenization產生的token format支援以下幾種方式，另外它亦提供遮罩(mask)功能，如下圖所示，透過指定token format，可以使Tokenization Manager所產生之Token更具有彈性。

上述是針對SafeNet Tokenization產品特性做一說明，它的確在資料庫加密中，對於特殊角色之欄位加密提供了良好的解決方案，對於資料庫加密保護的方便性有顯著的幫助。我們利用兩次篇幅介紹SafeNet在結構化資料所提供的資料加密解決方案做說明，下次將針對資料加密的另一種非結構化資料型態—檔案加密做進一步的介紹。