SAS 資訊安全 (22)

教學目標

初步了解 SAS Viya 之 CASLIB 加密的基本概念。

重點概念

首先企業客戶對於落地資料的資訊安全非常要求,客戶會期望落地資料能夠進行加密,因為其中可能包括敏感資訊和個人隱私,為了滿足此需求,當我們建立 CASLIB 時,就能夠啟用加密功能,這時匯入該 CASLIB 的資料表將會以 SASHDAT 格式 (.sashdat) 進行加密,並且提供存取權限,此外我們將會透過加密領域用於儲存存取外部資料來源所需的憑據 (密碼和密鑰) 以及允許使用這些憑據的使用者進行存取。

接著當加密資料表載入至 CAS 中的記憶體資料表時,這些資料表將會被標識為使用 AES 256 加密演算法的資料來源,但是加密僅適用於資料來源資料表,而不適用於記憶體中的資料表,請注意我們只能在建立 CASLIB 時為其指定加密若要進行更改,我們則必須重新建立 CASLIB,請務必單獨記錄加密密鑰,因為當建立 CASLIB 之後,我們將無法更改加密密鑰的設定或加密領域,並且無法透過軟體檢索加密密鑰值。因此 CASLIB 主要使用 256 位元密鑰進行進階加密標準 (Advanced Encryption Standard, AES) 演算法加密,其密鑰使用最終使用者指定的字元串和每個資料區塊的SALT 所建立,然後將此二進位資料傳遞給 RSA 加密函式庫以利產生 256 位元的密鑰,該邏輯使區塊能夠平獨立地加密/解密,並且使用密碼塊鏈接模式。

再來如果我們刪除了 CASLIB 之後,資料表將會保持加密狀態,若要訪問這些加密表,我們需要使用相同的路徑,相同的加密領域或使用相同加密密鑰的新加密領域定義新的 CASLIB,而 SAS Viya 主要支援在路徑位置加密靜態資料的檔案,並且僅支持基於 PATH,DNFS 和 HDFS 路徑的 CASLIB,其中對於使用 HDFS 而沒有集中標頭的儲存,僅會針對資料進行加密,至於使用路徑和 DNFS 集中式標頭包含一個 SALT,主要用於加密所有其他標頭。

最後當我們加密靜態資料時,建議遵守以下最佳實務和注意事項,分別為:

  1. 僅能夠加密 PATH、HDFS 或 DNFS 檔案。
  2. 最好不要在 CASLIB 路徑中混合加密和未加密的資料表。
  3. 只有加密領域中識別的使用者和群組才能讀取加密資料。
  4. 靜態資料加密會產生一些效能成本,以及使用者和管理負擔。
  5. 建立新的 CASLIB,並且啟用加密時,只會對新匯入的資料表進行加密,因此建議在匯入要加密的資料表之前,請先確保路徑為空。

相關資源