报错现场很多港口TOS上线后发现EDI报文在局域网里明文跑了一年监控数据直接落盘明文——等要过等保检查时才发现加密要从头补。港口的信息化系统TOS码头操作系统、EDI电子数据交换里有三类数据最敏感集装箱业务数据、EDI报文、危险品运输监控数据。这篇文章不聊政策就从技术上讲清楚一条集装箱数据从落库到跨多方流转加密链路应该怎么搭以及最容易踩的坑。一、先分清存储加密、传输加密、脱敏是三件事很多方案把这三件事混在一起讲结果就是上了加密但该漏的还在漏。区别如下数据形态保护手段解决什么问题落盘数据存储加密拖库/拷走备份后无法读传输数据传输加密中间节点截获后无法读共享数据数据脱敏测试/三方场景不泄露真实值关键点危险品监控数据同时要过存储加密和脱敏两道——既要防拖库又要保证共享给监管时不泄露危化品明细。二、存储层加密透明加密TDE怎么做透明加密的思路是应用层无感知数据库层自动加解密。数据写盘前加密、读盘时解密业务代码一行不用改。-- 以 MySQL 为例为集装箱表启用透明加密-- 表数据在磁盘上为密文查询时自动解密应用无感知ALTERTABLEcontainer_in ENCRYPTEDY;ALTERTABLEvessel_stowage ENCRYPTEDY;-- 验证是否已加密SELECTTABLE_NAME,CREATE_OPTIONSFROMINFORMATION_SCHEMA.TABLESWHERETABLE_SCHEMAport_dbANDTABLE_NAMEcontainer_in;这段 SQL 说的是加密是表级别的开关开完之后业务代码零改动性能损耗通常在 3% 左右这是 TDE 类方案的主流水平不同产品有差异。坑1备份文件没加密。很多人只加密了在线表结果备份、binlog、慢查询日志里还是明文。部署时要把备份链路一起纳入加密范围否则等于白加密。三、字段级加密比表级加密更细的管控表级加密粒度粗遇到不同角色看不同字段的需求就不好办了。字段级加密可以做到同一列数据不同账号读出不同结果。// 字段级加密示意EDI报文中的品名字段// 普通业务员拿到明文三方对接方拿到脱敏值FieldCryptoencnewFieldCrypto(SM4,keyId);Stringplain锂电池;// 业务员视角Stringmaskedenc.encryptForView(plain,THIRD_PARTY);// 三方视角密文/脱敏字段级加密的代价是模糊查询失效——密文没法直接 LIKE。这是项目里最大的坑坑2字段加密后 LIKE 查不了。加密前WHERE cargo_name LIKE %锂%能查加密后直接全表扫描或查不到。解法一般有三种解法思路适用场景加密后模糊索引额外维护可查询索引高频模糊查询保留格式加密FPE密文保持明文格式可匹配身份证号、箱号等定长字段数据库加密网关网关层做加解密业务无感存量系统免改造其中数据库加密网关是港口这种存量系统最友好的方案网关部署在应用与数据库之间字段加解密和脱敏都在网关完成应用和数据库都不用改还能对运维侧做 SQL 审计。四、传输加密EDI报文跨多方流转EDI 报文要在港口、船公司、海关、货主之间流转传输层用 TLS/SM4 加密 SM2 签名做防篡改# 报文签名以 GMSSL 示意# 发送方用私钥签名接收方用公钥验签gmssl sm2sign-inedi_message.txt-outedi.sig-privkeyport_priv.pem gmssl sm2verify-inedi_message.txt-sigedi.sig-pubkeyport_pub.pem坑3报文内容加密了但传输通道是明文的。有人只做了应用层字段加密却用明文 HTTP 传等于钥匙锁好、门没锁。传输加密要用 HTTPS/TLS 或国密协议且证书要定期轮换。五、脱敏危险品数据怎么安全地共享危险品运输监控数据要给监管、测试、分析用直接给原文不合适。静态脱敏KTM 这类工具在数据出环境前处理# 脱敏规则示意危险品监控数据cargo_type:mask_keep(2)# 品类保留前2位如锂***cargo_qty:fpe_sm4# 数量用FPE加密脱敏后还能参与运算route:replace_random# 路线随机替换不泄露真实路径脱敏后的数据格式保持原样FPE 保留格式下游系统不用改逻辑这是它比简单打码强的地方。六、踩坑清单汇总坑表现对策备份未加密备份文件明文备份链路纳入加密字段加密后查不了LIKE 失效模糊索引/FPE/加密网关只加密内容不加密通道传输明文HTTPS/国密协议脱敏破坏格式下游解析失败用保留格式加密密钥没人管私存、丢失统一密钥管理轮换七、总结一条集装箱数据的安全链路四层缺一不可存储层透明加密、字段层精细管控、传输层加密签名、共享层脱敏。港口存量系统改造优先选数据库加密网关应用免改、运维可审计配套统一密钥管理做轮换基本就能把明文裸奔的问题收干净。这类存储加密 字段管控 脱敏 密钥管理的组合安当的 TDE/DBG/KTM/KSP 都有对应落地能力需要可参考官网方案。文章作者安当加密技术负责人