Criptografia, gestão de chaves e armazenamento

DEEP DIVE

Entenda o mecanismo e seu impacto.

O nome de um algoritmo sozinho não explica quais riscos são reduzidos. Explore chaves e fluxos com exemplos de armazenamento de endereços e entrega.

Separe dados e chaves de criptografia

Um exemplo de criptografia de envelope protege dados pessoais com uma DEK e protege a DEK com uma KEK. Use criptografia autenticada e rejeite dados adulterados antes do uso.

DEK / KEK

Acesso ao banco não deve conceder também acesso às chaves gerenciadas pelo KMS.

nonce / authentication tag

Evite reutilizar nonces no AES-GCM e rejeite falhas de validação dos tags de autenticação.

Dados autenticados adicionais (AAD)

Vincule tenant_id, record_id e schema_version para detectar substituições de texto cifrado.

Rotação de chaves

Diferencie reencapsular DEKs na rotação da KEK e criptografar novamente os dados na rotação da DEK.

CLOUD KEY MANAGEMENT

Serviços de nuvem para custódia de chaves.

O Vault usa Azure Key Vault para gerenciar a KEK. Separe os direitos sobre a chave que protege as chaves de dados (DEK) do acesso à base.

Azure

Use Azure Key Vault; escolha Azure Managed HSM quando for necessário um ambiente HSM dedicado.

AWS

O produto DEV atual é uma API de endereços no Azure. Envio de e-mail, imagens de identidade, OCR e AWS KMS não estão incluídos. Exemplos gerais de arquitetura não são funções entregues. Confirme armazenamento, operação e integrações na implantação.

O papel do OneNym

Combine gestão de chaves na nuvem com regras do processo que definem quem pode consultar quais dados, para qual finalidade e até quando.

Armazene texto cifrado e DEKs encapsuladas, não DEKs persistentes em texto em claro. Permissões de uso comprometidas podem permitir a descriptografia; separe acesso a dados, chaves e administração.

Minimize caminhos de descriptografia

Separe a conexão ao banco da permissão de descriptografar. Apenas operações autorizadas descriptografam os campos necessários, evitando dados pessoais desnecessários em respostas, logs e exceções.

Respostas por campo

Retorne apenas campos permitidos, como o endereço necessário para entrega.

Acesso administrativo

Separe operações rotineiras e emergenciais com autenticação forte, limites de tempo e auditoria.

Projeto de busca

Pesquisar campos criptografados exige um projeto específico. Hashes de busca também têm riscos de comparação e adivinhação.

Exclusão, backups e recuperação

Defina retenção por finalidade. Acompanhe exclusões nos dados de origem, réplicas, backups e parceiros. Reaplique registros de exclusão após a restauração para impedir o retorno dos dados excluídos.

Conclusão da exclusão

Registre exclusão lógica, exclusão física e destruição de chaves separadamente.

Destruição de chaves

Considere chaves dedicadas apenas quando for possível remover todas as cópias recuperáveis, inclusive backups. Destruir chaves compartilhadas afeta outros registros.

Metas de recuperação

Defina RPO e RTO e teste a recuperação na prática.

Logs de auditoria

Registre responsável, operação, referência do alvo, horário e resultado. Não registre dados pessoais ou tokens brutos.

DATA / INTEGRATION EXAMPLE

Exemplo de dados e integração

Estes exemplos explicam o projeto. Nomes de campos e valores são ilustrativos, não uma referência executável de API.

{
  "operation": "Vault record metadata example",
  "record": {
    "tenant_id": "tenant_a",
    "record_id": "rec_example_01",
    "schema_version": 1,
    "ciphertext": "<encrypted bytes>",
    "wrapped_dek": "<wrapped key>",
    "kek_version": "key-version-2",
    "retention_until": "<agreed retention date>",
    "status": "active"
  }
}

Este exemplo explica a estrutura de armazenamento. Siga o formato da biblioteca criptográfica para nonces e tags. Criptografia sozinha não evita o abuso de permissões legítimas de descriptografia.

Projetos técnicos relacionados

Integração projetada para seus processos.

Mapeie dados retidos, parceiros e ações necessárias para identificar formas de reduzir a exposição.