Usar cifrado del servidor
Sugerir cambios
PDF
El cifrado del lado del servidor le permite proteger los datos de objetos en reposo. StorageGRID cifra los datos mientras escribe el objeto y descifra los datos cuando accede al objeto.
Si desea utilizar el cifrado en el servidor, puede elegir una de las dos opciones mutuamente excluyentes, basándose en cómo se administran las claves de cifrado:
-
SSE (cifrado del lado del servidor con claves administradas por StorageGRID): Cuando se emite una solicitud de S3 para almacenar un objeto, StorageGRID cifra el objeto con una clave única. Cuando emite una solicitud S3 para recuperar el objeto, StorageGRID utiliza la clave almacenada para descifrar el objeto.
-
SSE-C (cifrado del lado del servidor con claves proporcionadas por el cliente): Cuando se emite una solicitud S3 para almacenar un objeto, se proporciona su propia clave de cifrado. Cuando recupera un objeto, proporciona la misma clave de cifrado que parte de la solicitud. Si las dos claves de cifrado coinciden, el objeto se descifra y se devuelven los datos del objeto.
Mientras que StorageGRID gestiona todas las operaciones de cifrado y descifrado de objetos, debe gestionar las claves de cifrado que proporcione.
Las claves de cifrado que proporcione no se almacenan nunca. Si pierde una clave de cifrado, perderá el objeto correspondiente. 
Si un objeto está cifrado con SSE o SSE-C, se ignorará cualquier configuración de cifrado a nivel de bloque o de cuadrícula.
Utilice SSE
Para cifrar un objeto con una clave única administrada por StorageGRID, se utiliza el siguiente encabezado de solicitud:
x-amz-server-side-encryption
El encabezado de solicitud SSE es compatible con las siguientes operaciones de objeto:
Utilice SSE-C
Para cifrar un objeto con una clave única que administra, se utilizan tres encabezados de solicitud:
| Solicite el encabezado | Descripción |
|---|---|
|
Especifique el algoritmo de cifrado. El valor de la cabecera debe ser |
|
Especifique la clave de cifrado que se utilizará para cifrar o descifrar el objeto. El valor de la clave debe estar codificado en base64 de 256 bits. |
|
Especifique el resumen MD5 de la clave de cifrado según RFC 1321, que se utiliza para garantizar que la clave de cifrado se haya transmitido sin errores. El valor del resumen MD5 debe estar codificado en base64 de 128 bits. |
Las siguientes operaciones de objeto admiten los encabezados de solicitud de SSE-C:
Consideraciones para utilizar el cifrado del servidor con claves proporcionadas por el cliente (SSE-C)
Antes de utilizar SSE-C, tenga en cuenta las siguientes consideraciones:
-
Debe usar https.
StorageGRID rechaza cualquier solicitud hecha a través de http Cuando se utiliza SSE-C. Para consideraciones de seguridad, debe considerar cualquier clave que envíe accidentalmente usando http para ser comprometida. Deseche la llave y gírela según corresponda. -
La ETag en la respuesta no es la MD5 de los datos del objeto.
-
Debe gestionar la asignación de claves de cifrado a objetos. StorageGRID no almacena claves de cifrado. Usted es responsable del seguimiento de la clave de cifrado que usted proporciona para cada objeto.
-
Si su bloque está habilitado para versionado, cada versión de objeto debe tener su propia clave de cifrado. Usted es responsable del seguimiento de la clave de cifrado utilizada para cada versión del objeto.
-
Dado que gestiona las claves de cifrado en el cliente, también debe administrar cualquier protección adicional, como la rotación de claves, en el cliente.
Las claves de cifrado que proporcione no se almacenan nunca. Si pierde una clave de cifrado, perderá el objeto correspondiente. -
Si la replicación entre grid o la replicación de CloudMirror están configuradas para el bucket, no se pueden ingerir objetos SSE-C. La operación de ingesta fallará.