Protección de datos con cifrado de sobre

Key Protect utiliza el cifrado de sobre para ayudar a proteger sus datos de Key Protect no válidos. El cifrado de sobre implica cifrar los datos con una clave de cifrado de datos y, a continuación, cifrar la clave de cifrado de datos con una clave raíz. En este tema se describe el proceso de cifrado de sobre y cómo utilizar Key Protect para cifrar y descifrar los datos.

Al trabajar con datos confidenciales, es importante utilizar técnicas de cifrado avanzadas para evitar una violación de datos. Si tiene grandes cantidades de datos confidenciales, a menudo es útil utilizar un sistema de gestión de claves para ayudar a mantener la seguridad de los datos. Key Protect utiliza la técnica de cifrado de sobre para mantener la capacidad de recuperación de los datos. El cifrado de sobre es el proceso de utilizar claves cifradas, claves de cifrado de datos y claves raíz, para proteger los datos confidenciales.

Imagine que planea enviar una carta a un colega. Desea discutir información que es extremadamente confidencial, por lo que genera un código secreto (Clave de cifrado de datos) que se utiliza para escribir (cifrar) el mensaje en la carta. La carta se entrega a un buzón (Clave de cifrado de datos encapsulada) que sólo pueden abrir los que tengan una copia de la clave de buzón (clave Root), incluyendo el compañero. Cualquier persona que no tenga una copia exacta de la llave será incapaz de abrir el buzón y ver su contenido. Cuando su colega utiliza la llave para desbloquear (descifrar) el buzón, necesitará saber el código secreto en el que se ha escrito la carta para poder entender el mensaje. Todo el que no esté al tanto del código secreto concluirá que la carta es una mezcla aleatoria de caracteres y no podrá entender el contenido de la carta.

Las claves de cifrado de datos (DEK) están diseñadas para cifrar los datos y pueden ser generadas y gestionadas por su servicio o por un servicio de IBM Cloud.

El cifrado de sobre ofrece varias ventajas para proteger los datos:

• Protección bajo una combinación de múltiples algoritmos El cifrado de sobre utiliza los mejores beneficios de los algoritmos de clave simétrica y pública para mantener sus claves seguras.
  1. Los algoritmos de clave simétrica funcionan más rápido, son más escalables y más seguros que los algoritmos de clave pública. Los algoritmos de clave pública utilizan matemáticas complicadas que aumentan la sobrecarga computacional, especialmente cuando se trata de grandes volúmenes de datos. Los algoritmos de clave pública también son más susceptibles a los ataques de fuerza bruta debido a que tienen un componente de algoritmo de clave privada que es fácilmente reconocible por los hackers. Los algoritmos de clave simétrica requieren menos potencia de cálculo y son resistentes a los ataques de fuerza bruta debido a que tienen una estructura menos reconocible.
  2. Los algoritmos de clave pública permiten un control de acceso más fácil cuando se otorga acceso a claves a nivel individual en comparación con los algoritmos de clave simétrica. Los algoritmos de clave simétrica tienen un problema de intercambio de claves, que es que el acceso a una clave secreta sólo se puede intercambiar a través de una transferencia segura. Mediante el uso de algoritmos de clave pública, las DEK cifradas (wDEK) pueden ser compartidas y descifradas sólo por aquellos usuarios con acceso a la clave raíz de cifrado, hecho que mitiga el problema del intercambio de claves de algoritmos simétricos.
• Gestión de claves más fácil Puede cifrar varias DEK bajo una clave raíz singular, lo que minimiza la cantidad de claves que podría necesitar gestionar en un servicio de gestión de claves. También puede optar por ahorrar tiempo en el mantenimiento de claves sólo rotando sus claves raíz, en lugar de rotar y volver a cifrar todas las DEK. Tenga en cuenta que en casos como la rotación de personal, el mal funcionamiento del proceso o la detección de un problema de seguridad, se recomienda rotar todas las DEK y las claves raíz asociadas con el incidente.
• Protección de claves de datos Dado que las DEK están envueltas por una clave raíz, no tiene que preocuparse por cómo almacenar la clave de datos cifrados. Debido a esto, puede almacenar la wDEK junto con los datos cifrados asociados.

Key Protect utiliza el algoritmo Advanced Encryption Standard en modalidad Galois/Counter (AES GCM) para encapsular y desencapsular las DEK. Las CRK que no se importan se crean con material de clave de 256 bits. Las CRK importadas pueden tener un material de clave de 128, 192 o 256 bits.