【Oracle】DBMS_CRYPTO完全ガイド｜AES暗号化・復号・ハッシュ（SHA-256）・MAC・列暗号化まで解説

-- DBMS_CRYPTO の EXECUTE 権限を確認する
SELECT grantee, privilege, grantor
FROM DBA_TAB_PRIVS
WHERE table_name = 'DBMS_CRYPTO'
  AND grantee = 'YOUR_USER';

-- 権限がない場合は DBA が付与する（SYS で実行）
GRANT EXECUTE ON DBMS_CRYPTO TO YOUR_USER;

-- 実行前に RAW 型の扱いに必要な UTL_RAW も確認
GRANT EXECUTE ON UTL_RAW TO YOUR_USER;

DECLARE
    -- 暗号化アルゴリズムの指定: AES256 + CBC モード + PKCS5 パディング
    c_algo  CONSTANT PLS_INTEGER :=
        DBMS_CRYPTO.ENCRYPT_AES256
        + DBMS_CRYPTO.CHAIN_CBC
        + DBMS_CRYPTO.PAD_PKCS5;

    -- 鍵: AES-256 は 32 バイト（256 ビット）必要
    -- 実運用では安全な鍵管理機構（Oracle Wallet 等）を使うこと
    v_key   RAW(32) := UTL_I18N.STRING_TO_RAW('MySecretKey12345MySecretKey12345', 'AL32UTF8');

    -- IV（初期化ベクトル）: CBC モードでは 16 バイトの IV が必要
    v_iv    RAW(16) := UTL_RAW.CAST_TO_RAW('InitVector16Byte');

    v_plain RAW(2000);
    v_enc   RAW(2000);
    v_dec   RAW(2000);
    v_result VARCHAR2(200);
BEGIN
    -- 平文を RAW に変換する
    v_plain := UTL_I18N.STRING_TO_RAW('暗号化するテキスト', 'AL32UTF8');

    -- 暗号化する
    v_enc := DBMS_CRYPTO.ENCRYPT(
        src => v_plain,
        typ => c_algo,
        key => v_key,
        iv  => v_iv
    );
    DBMS_OUTPUT.PUT_LINE('暗号化結果（HEX）: ' || RAWTOHEX(v_enc));

    -- 復号する（同じ鍵・IV・アルゴリズムが必要）
    v_dec := DBMS_CRYPTO.DECRYPT(
        src => v_enc,
        typ => c_algo,
        key => v_key,
        iv  => v_iv
    );

    -- RAW を文字列に戻す
    v_result := UTL_I18N.RAW_TO_CHAR(v_dec, 'AL32UTF8');
    DBMS_OUTPUT.PUT_LINE('復号結果: ' || v_result);
END;
/

DECLARE
    -- AES-256 鍵（32バイト）をランダムに生成する
    v_key RAW(32) := DBMS_CRYPTO.RANDOMBYTES(32);

    -- CBC 用 IV（16バイト）をランダムに生成する
    v_iv  RAW(16) := DBMS_CRYPTO.RANDOMBYTES(16);
BEGIN
    DBMS_OUTPUT.PUT_LINE('鍵（HEX）: ' || RAWTOHEX(v_key));
    DBMS_OUTPUT.PUT_LINE('IV（HEX）: '  || RAWTOHEX(v_iv));
    -- 実運用: v_key を Oracle Wallet や Key Vault で管理する
    --         v_iv は暗号文と一緒に DB に保存する（秘密にする必要はない）
END;
/

DECLARE
    v_hash RAW(32);  -- SHA-256 は 32 バイト（256 ビット）
BEGIN
    v_hash := DBMS_CRYPTO.HASH(
        src => UTL_I18N.STRING_TO_RAW('ハッシュ化するテキスト', 'AL32UTF8'),
        typ => DBMS_CRYPTO.HASH_SH256
    );
    DBMS_OUTPUT.PUT_LINE('SHA-256: ' || RAWTOHEX(v_hash));
END;
/

DECLARE
    v_mac  RAW(32);
    -- 秘密鍵（送受信者が共有する鍵）
    v_key  RAW(32) := DBMS_CRYPTO.RANDOMBYTES(32);
    v_data RAW(2000);
BEGIN
    v_data := UTL_I18N.STRING_TO_RAW('認証するメッセージ内容', 'AL32UTF8');

    v_mac := DBMS_CRYPTO.MAC(
        src => v_data,
        typ => DBMS_CRYPTO.HMAC_SH256,  -- HMAC-SHA-256
        key => v_key
    );
    DBMS_OUTPUT.PUT_LINE('HMAC-SHA-256: ' || RAWTOHEX(v_mac));

    -- 検証: 同じ鍵・データで同じ MAC が生成されれば改ざんなし
END;
/

-- 個人情報テーブル（メールアドレスを暗号化して保存）
CREATE TABLE personal_info (
    user_id      NUMBER        PRIMARY KEY,
    name         VARCHAR2(100) NOT NULL,
    email_enc    RAW(256),     -- 暗号化されたメールアドレス
    email_iv     RAW(16),      -- 暗号化に使用した IV
    created_at   DATE DEFAULT SYSDATE
);

-- 暗号化パッケージ（鍵管理を一元化する設計）
CREATE OR REPLACE PACKAGE email_crypto AS
    -- 実運用では鍵を環境変数・Oracle Wallet・外部 KMS で管理すること
    -- このサンプルは構造の説明を目的としている
    c_key  CONSTANT RAW(32) := HEXTORAW('0123456789ABCDEF0123456789ABCDEF0123456789ABCDEF0123456789ABCDEF');
    c_algo CONSTANT PLS_INTEGER :=
        DBMS_CRYPTO.ENCRYPT_AES256 + DBMS_CRYPTO.CHAIN_CBC + DBMS_CRYPTO.PAD_PKCS5;

    PROCEDURE insert_user(
        p_user_id IN NUMBER,
        p_name    IN VARCHAR2,
        p_email   IN VARCHAR2
    );

    FUNCTION get_email(p_user_id IN NUMBER) RETURN VARCHAR2;
END email_crypto;
/

CREATE OR REPLACE PACKAGE BODY email_crypto AS
    PROCEDURE insert_user(
        p_user_id IN NUMBER,
        p_name    IN VARCHAR2,
        p_email   IN VARCHAR2
    ) IS
        v_iv    RAW(16);
        v_enc   RAW(256);
    BEGIN
        -- 毎回ランダムな IV を生成する
        v_iv  := DBMS_CRYPTO.RANDOMBYTES(16);
        v_enc := DBMS_CRYPTO.ENCRYPT(
            src => UTL_I18N.STRING_TO_RAW(p_email, 'AL32UTF8'),
            typ => c_algo,
            key => c_key,
            iv  => v_iv
        );
        INSERT INTO personal_info(user_id, name, email_enc, email_iv)
        VALUES (p_user_id, p_name, v_enc, v_iv);
    END insert_user;

    FUNCTION get_email(p_user_id IN NUMBER) RETURN VARCHAR2 IS
        v_enc  RAW(256);
        v_iv   RAW(16);
        v_dec  RAW(256);
    BEGIN
        SELECT email_enc, email_iv
        INTO v_enc, v_iv
        FROM personal_info
        WHERE user_id = p_user_id;

        v_dec := DBMS_CRYPTO.DECRYPT(
            src => v_enc,
            typ => c_algo,
            key => c_key,
            iv  => v_iv
        );
        RETURN UTL_I18N.RAW_TO_CHAR(v_dec, 'AL32UTF8');
    EXCEPTION
        WHEN NO_DATA_FOUND THEN
            RETURN NULL;
    END get_email;
END email_crypto;
/

-- 使用例
BEGIN
    email_crypto.insert_user(1, '山田太郎', 'yamada@example.com');
    COMMIT;
END;
/

SELECT email_crypto.get_email(1) AS email FROM DUAL;