Vantaggi della crittografia gestita dal cliente

La crittografia gestita dal cliente ha diversi vantaggi rispetto a IBM.

Si controllano le chiavi:

• Poiché utilizzi chiavi gestite dal cliente, sei tu a controllare la crittografia dei tuoi volumi “ Block Storage for VPC ”, delle condivisioni di file e delle immagini personalizzate.
• Concedi l'accesso al servizio VPC IBM per utilizzare le tue chiavi root per crittografare i dati. È possibile revocare l'accesso in qualsiasi momento per qualsiasi motivo.
• I tuoi dati sono protetti mentre sono in transito dal sistema di archiviazione all'hypervisor e all'host all'interno del VPC e inattivi in Block Storage for VPC e File Storage for VPC.

Codifica volumi di dati e di avvio:

• I tuoi dati Block Storage for VPC sono sempre crittografati con le tue chiavi sia inattivi che in movimento.
• Ogni volume di avvio e di dati è crittografato a riposo con una chiave di crittografia master univoca. Se la chiave è compromessa, nessun altro volume Block Storage for VPC è interessato perché la chiave compromessa protegge solo un singolo volume.
• I volumi di avvio primari creati dalle immagini stock di Linux o Windows sono codificati per impostazione predefinita con la crittografia gestita IBM. Se crei un'istanza da un'immagine stock e specifichi la crittografia gestita dal cliente per i volumi di dati, i dati scritti in questi volumi sono protetti dalla crittografia gestita dal cliente.
• Controlli il numero e l'utilizzo delle chiavi root da utilizzare per la crittografia envelope a livello di volume. Ad esempio, puoi scegliere di crittografare il tuo volume di avvio con una chiave root e volumi di dati con una diversa chiave root.
• Le istantanee create dai volumi di avvio e dati ereditano la crittografia gestita dal cliente dal volume di origine.

Codifica condivisioni file:

• I dati di condivisione file sono sempre crittografati con le tue chiavi inattivi.

• È possibile controllare il numero e l'utilizzo delle chiavi root da utilizzare per la codifica envelope a livello di condivisioni file. Vale a dire, puoi scegliere di crittografare tutte le tue condivisioni di file con la stessa chiave root o ogni condivisione di file con chiavi diverse. In alternativa, è possibile codificare alcune condivisioni file con una chiave root e altre con chiavi root differenti. Hai una flessibilità completa per implementare l'uso della chiave root in base alle tue esigenze di sicurezza individuali.

• Gestire le chiavi root per le condivisioni file ruotando, disabilitando o eliminando le chiavi. Puoi ripristinare le chiavi eliminate entro 30 giorni dalla loro eliminazione.

Crittografa le tue immagini personalizzate:

• È possibile codificare manualmente una immagine creando una copia codificata della stessa utilizzando QEMU.
• È possibile creare immagini personalizzate codificate dai volumi di boot codificati. Per ulteriori informazioni, vedi Informazioni sulle immagini personalizzate crittografate.

Prestazioni eccellenti:

• La crittografia gestita dal cliente utilizza la crittografia hypervisor sull'infrastruttura VPC, che fornisce eccellenti prestazioni I/O Block Storage for VPC crittografate per le tue istanze del server virtuale.
• Con l'infrastruttura VPC, puoi creare e avviare 1.000 istanze con volumi di avvio crittografati gestiti dal cliente in pochi minuti.
• Poiché l'hypervisor gestisce la codifica e la decrittografia, il sistema operativo guest non deve modificare i dati. Il sistema operativo guest non è a conoscenza del fatto che si sta verificando la crittografia.

Controllo e rotazione delle chiavi:

• Puoi ruotare manualmente le tue chiavi root con l'API o dalla CLI o configurare una politica di rotazione per ruotare automaticamente le tue chiavi. La rotazione delle chiavi sostituisce il materiale crittografico originale della chiave root e genera nuovo materiale. Per ulteriori informazioni, consulta Key rotation for VPC resources.

• La crittografia gestita dal cliente fornisce registrazioni di audit per l'utilizzo della chiave root. Gli eventi vengono generati e raccolti automaticamente in IBM Cloud Logs.

Tecnologia di crittografia IBM Cloud VPC

La crittografia è gestita dalla tecnologia hypervisor di IBM Cloud VPC per le tue istanze. Questa funzione fornisce un maggiore livello di sicurezza sulle soluzioni che forniscono solo la crittografia del nodo di memoria inattiva. I dati vengono sempre crittografati con la crittografia envelope all'interno di IBM Cloud.

Le immagini stock e personalizzate utilizzano il formato file QEMU Copy On Write Version 2 (QCOW2). Il formato di codifica LUKS protegge i file di formato QCOW2. IBM Cloud utilizza le opzioni della suite di crittografia AES-256 e della modalità di crittografia XTS con LUKS. Questa combinazione fornisce un livello di sicurezza molto maggiore rispetto a AES - CBC, insieme a una migliore gestione delle passphrase per la rotazione della chiave e fornisce opzioni di sostituzione della chiave se le tue chiavi vengono compromesse.

In totale, quattro chiavi proteggono i tuoi dati:

• Una IBM codifica i tuoi dati nel sistema di archiviazione di backend. IBMsul sistema di memoria è sempre applicata, anche quando si utilizza la crittografia gestita dal cliente. Questa chiave protegge i tuoi dati durante il transito e mentre sono inattivi.

  La crittografia del collegamento di rete tra il carico di lavoro all'esterno di IBM Cloud e un carico di lavoro all'interno di IBM Cloud è responsabilità dell'utente. Per ulteriori informazioni, vedi Encryption in Security and regulation compliance.

• Una chiave di codifica dati (DEK) codifica i dati all'interno del file QCOW2 e protegge i cluster di dati di blocco nel disco virtuale. Il DEK è gestito dalla tecnologia open source QEMU e viene generato automaticamente quando viene creato un file QCOW2.

  Per i volumi Block Storage for VPC creati da immagini stock, il DEK viene generato da QEMU in esecuzione su hypervisor KVM forniti da IBM. Per i volumi Block Storage for VPC creati da immagini personalizzate, viene generato da QEMU che viene eseguito sul nodo on-premises. Il DEK (una chiave AES-256 ) viene crittografato con una passphrase LUKS e memorizzato crittografato nel file QCOW2.

• Una passphrase LUKS (detta anche "chiave di codifica chiave") codifica e decodifica la DEK. Questa chiave è gestita dall'infrastruttura VPC di generazione 2 ed è crittografata dalla tua chiave root. Viene archiviato come metadati associati al volume Block Storage for VPC che contiene il file QCOW2.

• Una chiave root cliente che crittografa il volume, la condivisione e le passphrase dell'immagine personalizzata con la crittografia envelope, che crea una DEK o WDEK impacchettata. Le chiavi radice sono gestite dai clienti a partire dalle istanze KMS e vengono archiviate e gestite in modo sicuro all’interno dell’istanza KMS. La chiave root inoltre spacchetta (decrittografa) il WDEK, fornendo l'accesso ai tuoi dati crittografati.

Servizi di gestione chiavi supportati

Key Protect è il servizio di gestione delle chiavi preferito per la crittografia gestita dal cliente in VPC. È disponibile in due opzioni di distribuzione:

Scegliere tra Standard e Dedicato:

• Utilizzare Standard per la maggior parte dei carichi di lavoro che richiedono una crittografia gestita dal cliente con un'infrastruttura condivisa a costi contenuti.
• Utilizzate Dedicated per i settori altamente regolamentati, per i dati sensibili che richiedono la massima sicurezza o quando avete bisogno di un controllo completo sulla radice di fiducia.

Per ulteriori informazioni sulle differenze e sui casi in cui utilizzare ciascuna opzione, vedere Informazioni su Standard e Dedicato Key Protect.

Potreste vedere Key Protect Standard descritto come BYOK (Bring Your Own Key) e Key Protect Dedicated come KYOK (Keep Your Own Key).

Crittografia envelope

Le chiavi root fungono da chiavi di impacchettamento delle chiavi e sono una parte importante della crittografia envelope. Con la crittografia envelope, le chiavi root codificano le passphrase LUKS (chiamate anche chiavi di crittografia delle chiavi) che, a loro volta, proteggono le chiavi di crittografia dei dati (DEK) che codificano i dati sul disco virtuale.

KMS memorizza la tua chiave e la rende disponibile durante la crittografia di volume e immagine personalizzata. Gestisci anche le chiavi nel KMS.

Ai volumi di archiviazione a blocchi e alle condivisioni di file viene assegnata una chiave di crittografia master unica. Questa chiave univoca è generata dall'hypervisor host dell'istanza. Questa chiave è crittografata da una passphrase e impacchettata (crittografata) dalla chiave root, creando una DEK impacchettata o WDEK. Il WDEK è memorizzato come metadati con il volume o l'immagine e non è disponibile sulle interfacce VPC.

Le immagini personalizzate sono crittografate dalla tua passphrase LUKS che crei utilizzando QEMU. Dopo che l'immagine è crittografata, impacchettate la passphrase con la vostra chiave root memorizzata nel KMS.

Per ulteriori informazioni sulla crittografia a busta, consultare Key Protect- Protezione dei dati con la crittografia a busta.

Principali considerazioni regionali e interregionali

Quando utilizzi la crittografia gestita dal cliente per volumi, condivisioni file e immagini personalizzate, puoi mantenere le tue chiavi root nella stessa regione delle tue risorse o in una regione diversa (interregionale).

Le chiavi interregionali offrono una maggiore disponibilità di chiavi con il compromesso di una latenza leggermente superiore. Puoi creare e gestire le chiavi root in una regione e applicarle alle risorse in un'altra regione. Le chiavi interregionali sono disponibili in tutte le regioni.

Per prestazioni e sicurezza ottimali, utilizza le chiavi root nella stessa regione delle tue risorse crittografate. Il servizio regionale utilizza endpoint privati per più zone di disponibilità. Se una zona specifica non è disponibile, puoi continuare ad accedere alle tue chiavi root e alle risorse crittografate da un'altra zona.

Quando utilizzi le chiavi root a livello regionale o interregionale, tutto il traffico di rete viene indirizzato a un endpoint privato. In altre parole, le tue chiavi crittografano e decrittografano le risorse su una rete privata inaccessibile a Internet. Per ulteriori informazioni sugli endpoint privati, vedi Accesso sicuro ai servizi utilizzando gli endpoint del servizio. È possibile visualizzare un elenco di endpoint privati nella console accedendo a Elenco risorse > Sicurezza e facendo clic su un'istanza di Key Protect. Dal menu a sinistra, selezionare Endpoint.

Impostazione della crittografia gestita dal cliente

Per impostare la crittografia gestita dal cliente per le risorse VPC, è necessario eseguire il provisioning di un servizio di gestione delle chiavi, creare o importare chiavi di root e autorizzare l'accesso al servizio. Per istruzioni dettagliate sulla configurazione e sui prerequisiti, vedere Pianificazione della crittografia dei dati.

Una volta completata l'impostazione, è possibile gestire le chiavi disabilitandole, abilitandole, ruotandole o eliminandole a seconda delle necessità. Per ulteriori informazioni, vedere Gestione della crittografia dei dati.

Diagrammi di flusso per specificare la codifica gestita dal cliente per volumi

Puoi specificare la crittografia gestita dal cliente quando crei volumi Block Storage for VPC durante il provisioning dell'istanza. È possibile specificarlo anche al momento della creazione di un volume autonomo.

La figura 1 mostra la procedura per creare un volume di dati con la crittografia gestita dal cliente durante il provisioning dell'istanza. Il volume viene collegato automaticamente all'istanza.

La Figura 2 mostra la procedura per la creazione di un volume autonomo e il relativo collegamento a un'istanza in un secondo momento.

![La figura illustra la procedura per la creazione di volumi " Block Storage for VPC " con crittografia gestita dal cliente.](/images/vpc_flowchart_volumes_color.svg "La figura illustra la procedura per la creazione di volumi " Block Storage for VPC " con crittografia gestita dal cliente")

Informazioni sulle immagini personalizzate crittografate

Puoi creare un'immagine personalizzata QCOW2 che soddisfa i requisiti per l'infrastruttura IBM Cloud VPC e crittografarla utilizzando la tua passphrase LUKS e la tua chiave root. Dopo aver crittografato l'immagine personalizzata con la tua passphrase, la carichi in IBM Cloud Object Storage.

Per importare un'immagine personalizzata crittografata su IBM Cloud VPC, occorre innanzitutto configurare un'istanza del servizio di gestione delle chiavi (KMS). Nell'istanza KMS, creare una chiave principale per avvolgere (crittografare) la passphrase. L'impacchettamento della passphrase produce una DEK impacchettata (WDEK). Il WDEK protegge la passphrase al momento dell'importazione, mantenendo i tuoi dati al sicuro. La passphrase viene memorizzata in modo criptato nel servizio immagine e viene tolta solo quando viene avviato un server virtuale che utilizza l'immagine criptata.

Con le autorizzazioni IAM richieste disponibili, puoi importare l'immagine crittografata da IBM Cloud Object Storage. Importi l'immagine nel VPC e specifichi il nome risorsa cloud (CRN) per la tua chiave root memorizzata nel KMS. Specifichi anche il testo cifrato per il tuo WDEK, che è la passphrase che utilizzi per crittografare la tua immagine, impacchettata dalla chiave root.

Quando esegui l'importazione con l'API o l'IU, fornisci un singolo file di immagine di avvio QCOW2 che può essere compreso tra 10 GB e 250 GB. Questo file è privato per l'account in cui viene importato. La regione in cui si importa l'immagine crittografata è quella in cui si creano le istanze di server virtuali a partire da tale immagine. L'immagine criptata viene visualizzata insieme ad altre immagini personalizzate di cui si ha l'autorizzazione all'uso. Nella console, l'icona del lucchetto accanto al nome indica che si tratta di un'immagine personalizzata crittografata.

Se importi un'immagine crittografata che non è esattamente la dimensione del disco virtuale da 100 GB e la utilizzi per eseguire il provisioning di un'istanza e quindi provi a creare una immagine personalizzata dal volume di avvio di tale istanza, la chiamata POST /images restituirà un errore.

Quando esegui il provisioning di un'istanza del server virtuale con l'immagine crittografata, non sono necessarie altre informazioni di crittografia. Il WDEK e il CRN della chiave root vengono memorizzati come metadati con l'immagine. WDEK viene utilizzato per accedere all'immagine crittografata quando viene avviata un'istanza del server virtuale che utilizza l'immagine crittografata.

Al momento del provisioning, i dati nel volume di avvio dell'istanza vengono crittografati anche utilizzando la stessa chiave root utilizzata dall'immagine personalizzata insieme alla passphrase generata. In alternativa, puoi fornire una diversa chiave root per il volume di boot.

Una volta creata l'istanza del server virtuale, puoi visualizzare l'immagine personalizzata e visualizzare il CRN della chiave root. Puoi anche ruotare la chiave root e ricevere una notifica dal KMS quando la tua immagine crittografata WDEK viene automaticamente riimpacchettata (crittografata).

Tutti i volumi secondari che crei e colleghi dall'immagine personalizzata crittografata utilizzano una passphrase diversa rispetto all'immagine personalizzata di base. Facoltativamente, puoi fornire una chiave root diversa per i volumi secondari creati durante il provisioning dell'istanza.

Per ulteriori informazioni sulla creazione di immagini personalizzate, vedi Creazione di un'immagine personalizzata crittografata. Inoltre, vedi le informazioni per creare un'immagine personalizzata Linux e un' immagine personalizzata Windows.

Diagramma di flusso per la specifica della crittografia gestita dal cliente per immagini personalizzate

La figura 3 mostra la procedura per crittografare immagini personalizzate con le tue proprie chiavi di crittografia.