Cryptage au niveau du message pour assurer la conformité

Certaines normes réglementaires, telles que PCI DSS, exigent que les données sensibles des messages (telles que les informations relatives aux titulaires de cartes) soient cryptées tout au long de leur cycle de vie - au repos, en mouvement et en cours d'utilisation.

Les systèmes de fichiers utilisés par Event Streams pour stocker les données des messages sont cryptés, ce qui les protège contre tout accès non autorisé. Cependant, lorsque les messages passent par la couche de transport, Event Streams doit décrypter ces systèmes de fichiers pour traiter les messages. Bien que cela signifie que les charges utiles des messages ne sont pas chiffrées de bout en bout, le chiffrement en transit et au repos garantit une protection solide tout au long du cycle de vie des messages, conformément aux meilleures pratiques de l'industrie.

Pour garantir que les données sensibles restent illisibles pour toute personne autre que les destinataires prévus, les clients doivent crypter le message lui-même au niveau de l'application avant de l'envoyer à Event Streams- une pratique connue sous le nom de cryptage au niveau du message.

Ce qui n'est pas couvert par le chiffrement géré par le client

Si la fonction de cryptage gérée par le client est sélectionnée, sachez que seules les données utiles des messages sont couvertes par ce cryptage. Event Streams crypte au repos les autres données liées à l'utilisation du service. Toutefois, bien qu'elles soient cryptées, les données utiles autres que les messages ne sont pas cryptées par le système de cryptage géré par le client. Il s'agit par exemple des métadonnées du client telles que les noms des sujets, les données de configuration des sujets, les schémas stockés dans le registre des schémas et les métadonnées stockées en relation avec la configuration de l'instance d'Enterprise.

Par conséquent, n'utilisez pas d'informations confidentielles dans ces métadonnées client.

Fonctionnement du chiffrement géré par le client

Event Streams utilise un concept appelé cryptage d'enveloppe pour mettre en œuvre des clés gérées par le client.

Le chiffrement d'enveloppe est une pratique qui consiste à chiffrer une clé de chiffrement avec une autre clé de chiffrement. La clé utilisée pour chiffrer les données réelles porte le nom de clé DEK (Data Encryption Key). La DEK elle-même n'est jamais stockée, mais elle est enveloppée par une seconde clé, appelée clé de cryptage (KEK), afin de créer une DEK enveloppée.

Pour déchiffrer les données, la clé DEK encapsulée doit d'abord être désencapsulée pour obtenir la clé DEK. Ce processus n'est possible qu'en accédant à la clé KEK, qui est dans ce cas votre clé racine stockée dans Key Protect ou Hyper Protect Crypto Services.

Vous êtes propriétaire de la clé KEK, que vous créez en tant que clé racine dans le service Hyper Protect Crypto Services ou Key Protect. Le service Event Streams ne voit jamais la clé KEK racine. Son stockage, sa gestion et son utilisation pour encapsuler et désencapsuler la clé DEK sont effectués intégralement dans le service de gestion des clés. Si vous désactivez ou supprimez la clé, les données ne peuvent plus être déchiffrées.

Activation d'une clé gérée par le client pour Event Streams

Procédez comme suit pour mettre à disposition votre instance Event Streams afin d'utiliser une clé gérée par le client :

1. Mettez à disposition une instance de Key Protect ou Hyper Protect Crypto Services.
2. Créez une règle d'autorisation pour permettre au service Event Streams d'accéder à l'instance de service de gestion de clés en tant que Lecteur. Pour plus d'informations, voir Utilisation des autorisations pour accorder l'accès entre les services.
3. Créez ou importez une clé racine dans votre instance de service de gestion de clés.
4. Récupérer le nom de ressource cloud (CRN) de la clé en utilisant l'option View CRN dans l'interface graphique de l'instance de service de gestion de clés.
5. Mettez à disposition une instance d'Event Streams. Cette fonctionnalité n'est prise en charge que sur le plan Enterprise uniquement.

Si vous procédez à la mise à disposition au moyen de la console IBM Cloud®, sélectionnez une instance de service de gestion de clés, puis sélectionnez une clé racine dans cette instance.

Si procédez à la mise à disposition au moyen de l'interface de ligne de commande, utilisez la commande suivante :

ibmcloud resource service-instance-create EVENT-STREAMS-INSTANCE-NAME messagehub ibm.message.hub.enterprise.3nodes.2tb REGION -p '{"kms_key_crn":"KMS_KEY_CRN"}'

Un cluster existant sans clé gérée par le client ne peut pas être mis à jour car il s'agit d'une opération destructive qui entraînera la perte de toutes les définitions de messages et de sujets. Vous devez supprimer et recréer votre instance avec une clé de chiffrement.

Utilisation d'une clé gérée par le client

Après avoir approvisionné une instance d' Event Streams avec une clé gérée par le client, elle fonctionne avec les capacités supplémentaires suivantes.

Désactivation du chiffrement géré par le client

Une fois que vous avez activé le chiffrement géré par le client, il n'est plus possible de le désactiver. Vous devez à la place supprimer l'instance de service et créer une nouvelle instance.

Migration de Hyper Protect Crypto Services (HPCS) vers Key Protect Dedicated (KP-ST)

Lors de la migration de Hyper Protect Crypto Services (HPCS) vers Key Protect Dedicated (KP-ST), le phénomène suivant se produit :

• Chaque instance KMS conserve ses propres clés racine. La migration consiste à réassocier le service à une nouvelle clé racine IBM® Key Protect Dedicated.
• Les clés de chiffrement des données existantes (DEK) sont réenveloppées de manière sécurisée.
• Pendant la transition, les politiques d'accès à Hyper Protect Crypto Services to Service et à Key Protect to Service doivent rester en place.
• Les données cryptées ne sont pas recryptées ni déplacées.
• La disponibilité du service est maintenue.