Utilizzo della crittografia lato server
Suggerisci modifiche
PDF
La crittografia lato server consente di proteggere i dati a oggetti inattivi. StorageGRID crittografa i dati durante la scrittura dell'oggetto e li decrta quando si accede all'oggetto.
Se si desidera utilizzare la crittografia lato server, è possibile scegliere una delle due opzioni che si escludono a vicenda, in base alla modalità di gestione delle chiavi di crittografia:
-
SSE (crittografia lato server con chiavi gestite da StorageGRID): Quando si invia una richiesta S3 per memorizzare un oggetto, StorageGRID crittografa l'oggetto con una chiave univoca. Quando si invia una richiesta S3 per recuperare l'oggetto, StorageGRID utilizza la chiave memorizzata per decrittare l'oggetto.
-
SSE-C (crittografia lato server con chiavi fornite dal cliente): Quando si invia una richiesta S3 per memorizzare un oggetto, viene fornita la propria chiave di crittografia. Quando si recupera un oggetto, si fornisce la stessa chiave di crittografia come parte della richiesta. Se le due chiavi di crittografia corrispondono, l'oggetto viene decrittografato e vengono restituiti i dati dell'oggetto.
Mentre StorageGRID gestisce tutte le operazioni di crittografia e decifratura degli oggetti, è necessario gestire le chiavi di crittografia fornite.
Le chiavi di crittografia fornite non vengono mai memorizzate. Se si perde una chiave di crittografia, si perde l'oggetto corrispondente. 
Se un oggetto viene crittografato con SSE o SSE-C, tutte le impostazioni di crittografia a livello di bucket o di griglia vengono ignorate.
Utilizzo di SSE
Per crittografare un oggetto con una chiave univoca gestita da StorageGRID, utilizzare la seguente intestazione di richiesta:
x-amz-server-side-encryption
L'intestazione della richiesta SSE è supportata dalle seguenti operazioni a oggetti:
-
METTI oggetto
-
METTI oggetto - Copia
-
Avvia caricamento multiparte
Utilizzo di SSE-C.
Per crittografare un oggetto con una chiave univoca gestita, vengono utilizzate tre intestazioni di richiesta:
| Intestazione della richiesta | Descrizione |
|---|---|
|
Specificare l'algoritmo di crittografia. Il valore dell'intestazione deve essere |
|
Specificare la chiave di crittografia che verrà utilizzata per crittografare o decrittare l'oggetto. Il valore della chiave deve essere 256 bit, con codifica base64. |
|
Specificare il digest MD5 della chiave di crittografia in base a RFC 1321, utilizzato per garantire che la chiave di crittografia sia stata trasmessa senza errori. Il valore del digest MD5 deve essere a 128 bit con codifica base64. |
Le intestazioni delle richieste SSE-C sono supportate dalle seguenti operazioni a oggetti:
-
OTTIENI oggetto
-
Oggetto TESTA
-
METTI oggetto
-
METTI oggetto - Copia
-
Avvia caricamento multiparte
-
Carica parte
-
Carica parte - Copia
Considerazioni sull'utilizzo della crittografia lato server con le chiavi fornite dal cliente (SSE-C)
Prima di utilizzare SSE-C, tenere presente quanto segue:
-
È necessario utilizzare https.
StorageGRID rifiuta qualsiasi richiesta effettuata su http quando si utilizza SSE-C. Per motivi di sicurezza, è consigliabile considerare compromessa qualsiasi chiave inviata accidentalmente utilizzando http. Eliminare la chiave e ruotarla in base alle necessità. -
L'ETag nella risposta non è l'MD5 dei dati dell'oggetto.
-
È necessario gestire il mapping delle chiavi di crittografia agli oggetti. StorageGRID non memorizza le chiavi di crittografia. L'utente è responsabile del rilevamento della chiave di crittografia che fornisce per ciascun oggetto.
-
Se il bucket è abilitato per la versione, ogni versione dell'oggetto deve disporre di una propria chiave di crittografia. L'utente è responsabile del rilevamento della chiave di crittografia utilizzata per ciascuna versione dell'oggetto.
-
Poiché si gestiscono le chiavi di crittografia sul lato client, è necessario gestire anche eventuali protezioni aggiuntive, come la rotazione delle chiavi, sul lato client.
Le chiavi di crittografia fornite non vengono mai memorizzate. Se si perde una chiave di crittografia, si perde l'oggetto corrispondente. -
Se la replica CloudMirror è configurata per il bucket, non è possibile acquisire oggetti SSE-C. L'operazione di acquisizione non riesce.