加密传输与加密存储的分工

发布时间:2026-06-21 13:10

## 概念是什么 加密传输保护的是数据在路上，从客户端到服务器、从服务器到数据库、从机房到机房，防止被窃听与篡改；加密存储保护的是数据在盘上，无论云盘、快照还是备份文件，防止介质被拿走或导出后被直接读取。一个管流动，一个管静止，两道防线互相不可替代。 ## 背后的原理 传输加密的典型实现是传输层安全协议，建立连接时协商密钥，之后流量全部加密，中间设备看到的只是密文。存储加密分两层：平台层的透明加密由存储系统完成，对应用无感；应用层加密由业务代码对敏感字段先加密再入库，密钥握在自己手里。常见的覆盖缺口正出在两者的交界：站点对外开了加密，服务器访问数据库却明文穿内网；数据库文件加密了，每天导出的备份文件却明文躺在归档目录里。攻击者永远挑最软的那段下手。 ## 最小实操 盘点一遍数据的完整旅程，逐段标记加密状态：用户到入口、入口到应用、应用到数据库、数据库到备份，缺哪段补哪段。对外服务全站启用加密传输已经是基本要求；内网段的服务器间通信，敏感流量同样应该加密，内网不等于可信网络。存储侧先保敏感字段与备份文件，应用层加密配合受控的密钥存放。顺云的云服务器重装系统不会动数据盘，但退役与转让场景之前，先想清楚盘上的历史数据是否已妥善处理。 ## 常见错误 三种常见错误：以为上了加密传输就一劳永逸，备份文件明文放了一年；把加密当成配置项而非流程，证书过期、密钥硬编码这类运营问题反而成了新风险；对内部链路完全不设防。加密的强度取决于最薄弱的一环，梳理完整旅程再动手，比零散补洞有效得多。