Funções encrypt() e decrypt()

Sintaxe

varchar = encrypt(varchar text, varchar key [, int algorithm 
          [, varchar IV]]);
nvarchar = encrypt(nvarchar text, nvarchar key [, int algorithm 
          [, varchar IV]]);

varchar = decrypt(varchar text, varchar key [, int algorithm 
          [, varchar IV]]);
nvarchar = decrypt(nvarchar text, nvarchar key [, int algorithm
          [, varchar IV]]);

O valor text especifica o valor para criptografar ou decriptografar.

SELECT decrypt(a.value, b.key) FROM my_table a, my_keys b WHERE 
b.key_id = 1;

RC4, embora seja o algoritmo de criptografia mais amplamente usado (usado, por exemplo, por SSL e WEP), não é criptograficamente seguro e estávulnerável a ataques.

O Padrão de criptografia avançado (AES) é o padrão de criptografia que foi aprovado pelo governo dos Estados Unidos e é necessário para todas as informações classificadas. As três versões do AES diferem somente no design e na força dos comprimentos das chaves. Embora todos os três comprimentos de chave sejam suficientes para proteger as informações classificadas até o nível SECRET, informações TOP SECRET requererão o uso de 192 ou 256 comprimentos de chave.

O valor IV especifica o vetor de inicialização (IV) que é usado para criptografar ou decriptografar o valor. É possível especificar IV somente ao usar os algoritmos AES. (O algoritmo RC4 não usa o valor de IV.) Se você não especificar um valor IV, as funções encrypt() e decrypt() usarão um valor constante IV.

A criptografia com o modo de feedback de saída (OFB) requer que o IV e a chave sejam de 128 bits. Como uma melhor prática, especifique valores de 128 bits para a chave e o IV (se usado) para que o sistema use seus valores de entrada. Se um valor for menor que ou maior que 128 bits, o sistema usa um mecanismo de expansão ou derivação para ajustar o valor da seguinte forma:

• Para chaves ou IVs que são menores que 128 bits, o sistema duplica o valor até que a chave ou IV alcance o comprimento correto.
• Para chaves ou IVs que são maiores que 128 bits, o sistema cria um valor de 128 bits usando um OR lógico (XOR) dos primeiros 128 bits do valor com os bits restantes do valor.

select encrypt(encrypt('abcde', 'k1', 1), 'k1', 1);
  encrypt
 ---------
  abcde
 (1 row)

Retorna

As funções retornam um valor criptografado ou decriptografado. O kit de ferramentas do SQL Extensions usa o modo OFB do AES para criptografia e decriptografia, o que cria uma cifra de bloco em uma cifra de fluxo síncrono. Como uma cifra de fluxo, não há requisito de preenchimento para OFB, e o comprimento do texto cifrado de saída é o mesmo que aquele do texto simples da entrada.

Exemplo

select encrypt('123456',100,0);
 ENCRYPT
---------
 ÉôC¥Ñ
(1 row)

 select encrypt('Netezza Systems','NPS001534',1,'MY_IV is IBM001');
     ENCRYPT
-----------------
 �Ná•▒7Þ¢bhñæ
(1 row)

Geração de chave e IV

É possível usar as funções hash() e rawtohex() para gerar chaves e IVs. A função hash() retorna um hash de 128 bits, 160 bits ou 256 bits dos dados de entrada, dependendo da entrada do algoritmo para a função. O exemplo a seguir mostra como criar uma chave de 256 bits para criptografia AES. No exemplo, a saída de MYKEY é truncada intencionalmente usando caracteres de reticências (...) para que a saída possa ser exibida dentro do limite de página.

create table impData (cname varchar(35),cid varchar(20));
CREATE TABLE

insert into impData values('Netezza Systems','CNZ0001SYS');
INSERT 0 1

create table securedImpData as select cid, rawtohex(hash(cid,2))
 as mykey, encrypt(cname, rawtohex(hash(cid,2)),2) as ENCRYPTED_CNAME from impData;
INSERT 0 1

select * from securedImpData;
    CID     |                    MYKEY                        | ENCRYPTED_CNAME
------------+-------------------------------------------------+-----------------
 CNZ0001SYS | 8D812C9E8DB362FCB20E...6A00B564175B92762B1A3520 | Ã4W§
      wÂÃð
ŸÃ
(1 row)

create table decryptedData as select CID, decrypt(ENCRYPTED_CNAME,
MYKEY,2) as DECRYPTED_CNAME from securedImpData;
INSERT 0 1

select * from decryptedData;
    CID     | DECRYPTED_CNAME
------------+-----------------
 CNZ0001SYS | Netezza Systems
(1 row)