Hiérarchie de chiffrementEncryption Hierarchy

S’APPLIQUE À : ouiSQL Server ouiAzure SQL Database nonAzure Synapse Analytics (SQL DW) nonParallel Data Warehouse APPLIES TO: yesSQL Server yesAzure SQL Database noAzure Synapse Analytics (SQL DW) noParallel Data Warehouse

SQL ServerSQL Server chiffre les données avec un chiffrement hiérarchique et une infrastructure de gestion des clés.encrypts data with a hierarchical encryption and key management infrastructure. Chaque couche chiffre la couche qui se trouve en dessous d'elle à l'aide d'une combinaison de certificats, de clés asymétriques et de clés symétriques.Each layer encrypts the layer below it by using a combination of certificates, asymmetric keys, and symmetric keys. Les clés asymétriques et les clés symétriques peuvent être stockées hors de SQL ServerSQL Server dans un module de gestion de clés extensible (EKM, Extensible Key Management).Asymmetric keys and symmetric keys can be stored outside of SQL ServerSQL Server in an Extensible Key Management (EKM) module.

L'illustration suivante montre que chaque couche de la hiérarchie de chiffrement chiffre la couche qui se trouve en dessous d'elle, et affiche les configurations de chiffrement les plus communes.The following illustration shows that each layer of the encryption hierarchy encrypts the layer beneath it, and displays the most common encryption configurations. L'accès au sommet de la hiérarchie est généralement protégé par un mot de passe.The access to the start of the hierarchy is usually protected by a password.

Affiche des combinaisons de chiffrement dans une pile.Displays some encryption combinations in a stack.

Gardez en mémoire les concepts suivants :Keep in mind the following concepts:

  • Pour optimiser les performances, chiffrez les données en utilisant des clés symétriques plutôt que des certificats ou des clés asymétriques.For best performance, encrypt data using symmetric keys instead of certificates or asymmetric keys.

  • Les clés principales de base de données sont protégées par la clé principale du service.Database master keys are protected by the Service Master Key. La clé principale du service est créée par le programme d'installation de SQL ServerSQL Server et est chiffrée avec l'API de protection des données (DPAPI) Windows.The Service Master Key is created by SQL ServerSQL Server setup and is encrypted with the Windows Data Protection API (DPAPI).

  • D'autres hiérarchies de chiffrement avec des couches supplémentaires sont possibles.Other encryption hierarchies stacking additional layers are possible.

  • Un module Gestion de clés extensible (EKM) maintient les clés symétriques ou asymétriques hors de SQL Server.An Extensible Key Management (EKM) module holds symmetric or asymmetric keys outside of SQL Server.

  • Le chiffrement transparent des données (TDE, Transparent Data Encryption) doit utiliser une clé symétrique appelée la clé de chiffrement de base de données qui est protégée soit par un certificat qui est lui-même protégé par la clé principale de base de données de la base de données MASTER, soit par une clé asymétrique stockée dans un module EKM.Transparent Data Encryption (TDE) must use a symmetric key called the database encryption key which is protected by either a certificate protected by the database master key of the master database, or by an asymmetric key stored in an EKM.

  • La clé principale du service et toutes les clés principales de base de données sont protégées par des clés symétriques.The Service Master Key and all Database Master Keys are symmetric keys.

L'illustration suivante montre les mêmes informations de manière différente.The following illustration shows the same information in an alternative manner.

Affiche des combinaisons de chiffrement dans une roue.Displays some encryption combinations in a wheel.

Ce diagramme illustre les concepts supplémentaires suivants :This diagram illustrates the following additional concepts:

  • Dans cette illustration, les flèches indiquent des hiérarchies de chiffrement communes.In this illustration, arrows indicate common encryption hierarchies.

  • Les clés symétriques et asymétriques du module EKM peuvent protéger l'accès aux clés symétriques et asymétriques stockées dans SQL ServerSQL Server.Symmetric and asymmetric keys in the EKM can protect access to the symmetric and asymmetric keys stored in SQL ServerSQL Server. La ligne en pointillés associée à EKM indique que les clés du module EKM pourraient remplacer les clés symétriques et asymétriques stockées dans SQL ServerSQL Server.The dotted line associated with EKM indicates that keys in the EKM could replace the symmetric and asymmetric keys stored in SQL ServerSQL Server.

Mécanismes de chiffrementEncryption Mechanisms

SQL ServerSQL Server fournit les mécanismes de chiffrement suivants :provides the following mechanisms for encryption:

  • Transact-SQLTransact-SQL fonctionsfunctions

  • Clés asymétriquesAsymmetric keys

  • Clés symétriquesSymmetric keys

  • CertificatsCertificates

  • chiffrement transparent des donnéesTransparent Data Encryption

Fonctions Transact-SQLTransact-SQL Functions

Des éléments individuels peuvent être chiffrés dès leur insertion ou mise à jour à l’aide de fonctions Transact-SQLTransact-SQL.Individual items can be encrypted as they are inserted or updated using Transact-SQLTransact-SQL functions. Pour plus d’informations, consultez ENCRYPTBYPASSPHRASE (Transact-SQL) et DECRYPTBYPASSPHRASE (Transact-SQL).For more information, see ENCRYPTBYPASSPHRASE (Transact-SQL) and DECRYPTBYPASSPHRASE (Transact-SQL).

CertificatsCertificates

Un certificat de clé publique, généralement appelé simplement un certificat, est une instruction signée numériquement qui lie la valeur d'une clé publique à l'identité de la personne, de la machine ou du service qui contient la clé privée correspondante.A public key certificate, usually just called a certificate, is a digitally-signed statement that binds the value of a public key to the identity of the person, device, or service that holds the corresponding private key. Les certificats sont émis et signés par une autorité de certification.Certificates are issued and signed by a certification authority (CA). L'entité qui reçoit un certificat d'une autorité de certification est le sujet de ce certificat.The entity that receives a certificate from a CA is the subject of that certificate. En général, les certificats contiennent les informations suivantes.Typically, certificates contain the following information.

  • Clé publique du sujet.The public key of the subject.

  • Informations identifiant le sujet, par exemple son nom et son adresse de messagerie.The identifier information of the subject, such as the name and e-mail address.

  • Période de validité.The validity period. Il s'agit de la durée pendant laquelle le certificat est valide.This is the length of time that the certificate is considered valid.

    Un certificat n’est valide que pour la durée spécifiée dans celui-ci. Chaque certificat contient les dates Valide à partir du et Valide jusqu’au .A certificate is valid only for the period of time specified within it; every certificate contains Valid From and Valid To dates. Ces dates définissent les limites de la période de validité.These dates set the boundaries of the validity period. Lorsque la période de validité d'un certificat est dépassée, un nouveau certificat doit être demandé par le sujet du certificat expiré.When the validity period for a certificate has passed, a new certificate must be requested by the subject of the now-expired certificate.

  • Des informations identifiant l'émetteur.Issuer identifier information.

  • Signature numérique de l'émetteur.The digital signature of the issuer.

    Cette signature atteste de la validité du lien entre la clé publique et les informations identifiant le sujet.This signature attests to the validity of the binding between the public key and the identifier information of the subject. (Le processus de signature numérique des informations implique la transformation de celles-ci, ainsi que la présence d'informations secrètes connues de l'expéditeur dans une balise nommée signature.)(The process of digitally signing information entails transforming the information, as well as some secret information held by the sender, into a tag called a signature.)

Le principal avantage des certificats est le fait que les hôtes ne sont pas tenus de conserver un jeu de mots de passe pour les sujets individuels.A primary benefit of certificates is that they relieve hosts of the need to maintain a set of passwords for individual subjects. Il leur suffit de placer leur confiance dans un émetteur de certificats, qui peut ensuite signer un nombre illimité de certificats.Instead, the host merely establishes trust in a certificate issuer, which may then sign an unlimited number of certificates.

Lorsqu'un hôte, tel qu'un serveur Web sécurisé, désigne un émetteur en tant qu'autorité racine approuvée, l'hôte approuve implicitement les stratégies que l'émetteur a utilisées pour établir les liaisons des certificats qu'il émet.When a host, such as a secure Web server, designates an issuer as a trusted root authority, the host implicitly trusts the policies that the issuer has used to establish the bindings of certificates it issues. En fait, l'hôte fait confiance à l'émetteur en ce qui concerne la vérification de l'identité du sujet du certificat.In effect, the host trusts that the issuer has verified the identity of the certificate subject. Un hôte désigne un émetteur en tant qu'autorité racine de confiance en plaçant le certificat auto-signé de l'émetteur contenant sa clé publique dans le magasin de certificats de l'autorité de certification racine de confiance de l'ordinateur hôte.A host designates an issuer as a trusted root authority by putting the self-signed certificate of the issuer, which contains the public key of the issuer, into the trusted root certification authority certificate store of the host computer. Les Autorités de certification intermédiaires ou secondaires ne sont approuvées que si elles ont un chemin d'accès de certification valide à partir d'une Autorité de certification racine de confiance.Intermediate or subordinate certification authorities are trusted only if they have a valid certification path from a trusted root certification authority.

L'émetteur peut révoquer un certificat avant qu'il n'expire.The issuer can revoke a certificate before it expires. La révocation annule la liaison de la clé publique à l'identité qui est déclarée dans le certificat.Revocation cancels the binding of a public key to an identity that is asserted in the certificate. Chaque émetteur gère une liste de révocation de certificats qui peut être utilisée par des programmes lors de la vérification de la validité de n'importe quel certificat.Each issuer maintains a certificate revocation list that can be used by programs when they are checking the validity of any given certificate.

Les certificats auto-signés créés par SQL ServerSQL Server respectent la norme X.509 et prennent en charge les champs X.509 v1.The self-signed certificates created by SQL ServerSQL Server follow the X.509 standard and support the X.509 v1 fields.

Clés asymétriquesAsymmetric Keys

Une clé asymétrique se compose d'une clé privée et de la clé publique correspondante.An asymmetric key is made up of a private key and the corresponding public key. Chaque clé peut déchiffrer les données chiffrées par l'autre.Each key can decrypt data encrypted by the other. Le chiffrement et le déchiffrement asymétriques sont relativement gourmands en ressources, mais ils fournissent un niveau de sécurité supérieur à celui du chiffrement symétrique.Asymmetric encryption and decryption are relatively resource-intensive, but they provide a higher level of security than symmetric encryption. Une clé asymétrique peut être utilisée pour chiffrer une clé symétrique en vue d'un stockage dans une base de données.An asymmetric key can be used to encrypt a symmetric key for storage in a database.

Clés symétriquesSymmetric Keys

Une clé symétrique est une clé qui est utilisée pour le chiffrement et le déchiffrement.A symmetric key is one key that is used for both encryption and decryption. Une clé symétrique permet d'effectuer un chiffrement et un déchiffrement rapides, particulièrement adaptés à l'utilisation courante des données sensibles de la base de données.Encryption and decryption by using a symmetric key is fast, and suitable for routine use with sensitive data in the database.

chiffrement transparent des donnéesTransparent Data Encryption

Le chiffrement transparent des données est un cas spécial de chiffrement à l'aide d'une clé symétrique.Transparent Data Encryption (TDE) is a special case of encryption using a symmetric key. L'ensemble de la base de données est chiffré à l'aide de cette clé symétrique, appelée clé de chiffrement de base de données.TDE encrypts an entire database using that symmetric key called the database encryption key. La clé de chiffrement de base de données est protégée par d'autres clés ou certificats qui sont eux-mêmes protégés par la clé principale de base de données ou par une clé asymétrique stockée dans un module EKM.The database encryption key is protected by other keys or certificates which are protected either by the database master key or by an asymmetric key stored in an EKM module. Pour plus d’informations, consultez Transparent Data Encryption (TDE).For more information, see Transparent Data Encryption (TDE).

Sécurisation de SQL ServerSecuring SQL Server

Fonctions de sécurité (Transact-SQL)Security Functions (Transact-SQL)

Voir aussiSee Also

Hiérarchie des autorisations (moteur de base de données) Permissions Hierarchy (Database Engine)
Éléments sécurisablesSecurables