如何实现Azure SQL Database的Always Encrypted？能否用PIN实现数据永久加密？

一、Azure SQL Database Always Encrypted 的实现步骤 #

Always Encrypted是Azure SQL的列级加密方案，实现流程如下：

• 搭建加密密钥体系：
  1. 创建列主密钥（CMK）：可选择Azure Key Vault、本地证书或Windows证书存储作为密钥容器。
  2. 创建列加密密钥（CEK）：由CMK加密保护，用于实际加密数据库列数据。
• 加密目标列：
  可通过SSMS可视化向导操作，也可执行T-SQL语句：

  -- 示例：基于Azure Key Vault创建列主密钥
  CREATE COLUMN MASTER KEY CMK_AzureVault
  WITH (
      KEY_STORE_PROVIDER_NAME = N'AZURE_KEY_VAULT',
      KEY_PATH = N'https://your-vault.vault.azure.net/keys/your-encryption-key'
  );
  
  -- 创建列加密密钥
  CREATE COLUMN ENCRYPTION KEY CEK_UserData
  WITH VALUES (
      COLUMN_MASTER_KEY = CMK_AzureVault,
      ALGORITHM = N'RSA_OAEP',
      ENCRYPTED_VALUE = 0x... -- 由CMK加密后的CEK二进制值
  );
  
  -- 对指定列启用加密
  ALTER TABLE CustomerData
  ALTER COLUMN SensitiveInfo VARCHAR(200)
  ENCRYPTED WITH (
      COLUMN_ENCRYPTION_KEY = CEK_UserData,
      ENCRYPTION_TYPE = DETERMINISTIC,
      ALGORITHM = N'AEAD_AES_256_CBC_HMAC_SHA_256'
  ) NULL;
  

• 配置客户端连接：在应用连接字符串中添加Column Encryption Setting=Enabled，客户端会自动处理加密列的解密操作（需具备CMK的访问权限）。

二、无管理员可读的永久加密方案 #

默认Always Encrypted方案中，若CMK存储在Azure Key Vault，云管理员或KV权限持有者可能获取CMK从而解密数据。要实现完全无任何人员（包括管理员、服务商）可读的永久加密，必须采用客户端端加密方案：

• 所有加密、解密操作在应用客户端完成，数据库仅存储密文，不接触任何明文或密钥材料。
• 加密密钥完全由用户控制，不存储在云端任何服务中，仅在客户端内存中临时生成使用。

这种模式下，数据库管理员只能看到无意义的密文，没有密钥就无法解密，真正实现数据永久加密且无人可读取。

三、基于PIN码的多客户加密实现 #

针对多客户应用的邮箱/密码+PIN码认证场景，完全可以实现数据由PIN码加密、丢失PIN则数据不可恢复的需求，核心逻辑如下：

• 登录流程：用户输入邮箱、密码完成身份认证后，额外输入专属PIN码。
• 密钥派生：客户端用PIN码结合用户唯一标识（比如邮箱哈希值作为盐值），通过Argon2或PBKDF2这类安全的密钥派生算法生成用户专属加密密钥。即使不同用户PIN相同，派生的密钥也完全不同。
• 数据处理：用户敏感数据在客户端加密后存入Azure SQL；查询时从数据库拉取密文，在客户端用PIN派生的密钥解密。
• 不可恢复性：密钥仅由PIN码派生，且不会存储在任何位置（包括客户端本地），一旦用户丢失PIN码，没有任何手段可以恢复密钥，数据将永久无法解密。

注意事项：

• 强制PIN码复杂度（至少8位，包含数字、字母、符号），降低暴力破解风险。
• 密钥派生必须加入唯一盐值，避免密钥碰撞。
• 客户端需做好内存安全防护，防止密钥被恶意程序窃取。

内容的提问来源于stack exchange，提问作者zen