Criptografia de dados - Cloud Parallel File Storage: Central de Documentação do Alibaba Cloud

O CPFS General-purpose protege seus dados de ponta a ponta com criptografia no servidor e criptografia em trânsito.

Criptografia no servidor: Protege seus dados em repouso e impede violações de dados causadas por perda ou roubo físico de discos.
Criptografia em trânsito: Protege os dados que trafegam pela rede contra interceptações e adulterações.

Como funciona

Criptografia no servidor

Este recurso é implementado por meio do mecanismo padrão de mercado de criptografia de envelope com o alibaba cloud Key Management Service (KMS) via REST. O sistema gera uma chave de criptografia de dados (DEK) exclusiva para cada sistema de arquivos e usa o algoritmo AES-256 para criptografar seus dados. A própria DEK é criptografada e protegida por uma chave mestra do cliente (CMK) que você especifica no KMS. Esse processo transparente garante a segurança dos dados e mantém um alto desempenho de leitura e gravação por meio de um mecanismo de cache de DEK.
Criptografia em trânsito

Este recurso fornece transmissão de dados segura de ponta a ponta com base no software open source Stunnel. Quando você monta um sistema de arquivos, a ferramenta de cliente do CPFS (aliyun-alinas-utils) inicia um processo de proxy do Stunnel na sua instância ECS. Esse processo encapsula todo o tráfego NFS em um túnel criptografado via Transport Layer Security (TLS), o que impede eficazmente interceptações e adulterações na rede.

Opções de criptografia

Para cenários que exigem o mais alto nível de segurança, recomendamos ative tanto a criptografia no servidor quanto a criptografia em trânsito para garantir a proteção de dados de ponta a ponta.

Dimensão	Criptografia no servidor	Criptografia em trânsito
Principal benefício	Protege dados em repouso e impede violações de dados por perda ou roubo físico de discos.	Protege dados em trânsito e impede interceptações na rede.
Casos de uso	Atender a requisitos específicos de auditoria de segurança e conformidade. Proteger dados corporativos altamente confidenciais contra riscos de segurança física.	Transmitir dados pela internet pública ou por uma rede não confiável. Atender aos requisitos de segurança de transporte de estruturas de conformidade, como MLPS e GDPR.
Impacto no desempenho	Uma pequena redução em IOPS e throughput, com um leve aumento na sobrecarga de cpu.	Cerca de 10% de impacto no desempenho (aumento de 10% na latência de acesso e redução de 10% em IOPS). Para aplicativos que exigem muito throughput, o processo do Stunnel para cada ponto de montagem pode consumir um núcleo inteiro de cpu em casos extremos. Portanto, reserve recursos de cpu suficientes com base na sua carga de trabalho.
Custo	Managed key: Gratuito. Customer-managed key: Cobrado com base em standard KMS pricing.	Gratuito
Complexidade de gerenciamento	Configuração única durante a criação. Se uma Customer-managed key for excluída acidentalmente, os dados criptografados com ela serão perdidos permanentemente.	Você deve instale e manter o cliente, além de monitorar a expiração do certificado. Se o certificado do cliente expirar, o sistema de arquivos parará de responder.

Criptografia no servidor

A criptografia no servidor só pode ser configurada durante a criação de um sistema de arquivos. Após a criação, não é possível desativar a criptografia nem alterar a chave. ative a criptografia causa um pequeno impacto no desempenho, o que pode reduzir ligeiramente o IOPS e o throughput.

Etapa 1: escolha o método de gerenciamento de chaves

escolha um método de gerenciamento de chaves com base nas suas necessidades de segurança e conformidade:

Managed key: O CPFS cria e gerencie as chaves em seu nome, portanto, você não precisa gerencie o ciclo de vida delas. Você mantém as permissões de auditoria. Este método é gratuito, fácil de gerenciar e adequado para cenários de segurança gerais.
Customer-managed key (via KMS): Use uma chave que você gerencia no KMS para criptografar o sistema de arquivos. Você tem controle total sobre o ciclo de vida da chave, incluindo criação, ativação, desativação, rotação e exclusão. Este método é adequado para cenários com requisitos rigorosos de conformidade ou quando você precisa controlar suas próprias chaves. Há suporte para duas origens de chave:
- Chave criada pelo KMS: crie uma chave mestra do cliente (CMK) no console do KMS.
- Traga sua própria chave (BYOK): Importe uma chave gerada externamente para o KMS para uso.
Se você escolher uma Customer-managed key, primeiro será necessário create or import uma chave mestra do cliente (CMK) no console do Key Management Service.

Etapa 2: crie o sistema de arquivos criptografado

Faça logon no CPFS console e acesse a página de criação do sistema de arquivos.
defina o Encryption Type como Managed key ou Customer-managed key (via KMS).
Se você selecionar Customer-managed key (via KMS), selecione uma chave na lista suspensa Key ID.

Na primeira vez que você usar este recurso, o sistema o orientará a crie uma função vinculada ao service para autorizar o CPFS a acessar seus recursos do KMS.
Preencha os outros parâmetros de configuração e, em seguida, crie o sistema de arquivos.

Etapa 3: Verifique a configuração de criptografia

Após a criação do sistema de arquivos, verifique o status na coluna Encryption da lista de sistemas de arquivos para confirme que a criptografia está ativada.

A partir desse momento, todos os dados gravados no sistema de arquivos são criptografados automaticamente.

Criptografia em trânsito

A criptografia em trânsito é ativada ao adicionar um parâmetro específico quando você monta um sistema de arquivos. Este recurso protege o tráfego NFS enquanto ele trafega pela rede.

Pré-requisitos

Você tem created a general-purpose CPFS file system.
A instância ECS de destino tem a public IP address or an associated Elastic IP Address (EIP).

Etapa 1: instale o cliente CPFS-NFS

Faça logon na instância ECS onde você montará o sistema de arquivos CPFS. Para obter mais informações sobre como se conectar a uma instância ECS, consulte Connection methods.

Baixe e instale o cliente CPFS-NFS.

alibaba cloud Linux

Baixe o cliente CPFS-NFS.

wget https://cpfs-hangzhou-nfs-client.oss-cn-hangzhou.aliyuncs.com/aliyun-alinas-utils-latest.al.noarch.rpm

instale o cliente CPFS-NFS.

sudo yum install aliyun-alinas-utils-*.rpm

CentOS

Baixe o cliente CPFS-NFS.

wget https://cpfs-hangzhou-nfs-client.oss-cn-hangzhou.aliyuncs.com/aliyun-alinas-utils-latest.el.noarch.rpm

instale o cliente CPFS-NFS.

sudo yum install aliyun-alinas-utils-*.rpm

Ubuntu

Baixe o cliente CPFS-NFS.

sudo wget https://cpfs-hangzhou-nfs-client.oss-cn-hangzhou.aliyuncs.com/aliyun-alinas-utils-latest.deb -O /tmp/aliyun-alinas-utils-latest.deb

instale o cliente CPFS-NFS.

sudo apt-get update
sudo apt-get install /tmp/aliyun-alinas-utils-latest.deb

Debian

Baixe o cliente CPFS-NFS.

sudo wget https://cpfs-hangzhou-nfs-client.oss-cn-hangzhou.aliyuncs.com/aliyun-alinas-utils-latest.deb -O /tmp/aliyun-alinas-utils-latest.deb

instale o cliente CPFS-NFS.

sudo apt-get update
sudo apt-get install /tmp/aliyun-alinas-utils-latest.deb

SUSE

Baixe o cliente CPFS-NFS.

wget https://cpfs-hangzhou-nfs-client.oss-cn-hangzhou.aliyuncs.com/aliyun-alinas-utils-latest.lp15.x86_64.rpm

instale o cliente CPFS-NFS.

sudo zypper --no-gpg-checks install -y aliyun-alinas-utils-*.rpm

Verifique a instalação.
```
which mount.cpfs-nfs
```
Uma instalação bem-sucedida retorna a seguinte saída:
```
/usr/sbin/mount.cpfs-nfs
```

Etapa 2: Monte com criptografia em trânsito

Ao ative a criptografia em trânsito, se um sistema de arquivos NFS já estiver montado no diretório de destino (por exemplo, /mnt) na sua instância ECS, você deverá primeiro unmount the NFS file system antes de remontá-lo seguindo as instruções deste tópico.

Para ative a criptografia em trânsito, adicione o parâmetro -o tls ao comando de montagem padrão. Quando você monta o sistema de arquivos, a ferramenta de cliente do CPFS grava automaticamente o mapeamento do ponto de montagem no arquivo /etc/hosts e remove o mapeamento quando você desmonta o sistema de arquivos.

# Example: Mount with encryption in transit enabled.
sudo mount -t cpfs-nfs -o tls,vers=3,rsize=1048576,wsize=1048576,hard,timeo=600,retrans=2,noresvport file-system-id.region.cpfs.aliyuncs.com:/share/path /mnt

-o tls: Obrigatório. Ativa a criptografia em trânsito.
vers=3: especifique o protocolo NFSv3 para melhor compatibilidade.
rsize=1048576,wsize=1048576: Define o tamanho do bloco de leitura e gravação como 1 MB para otimizar o desempenho de transferência.
hard: especifique uma montagem rígida para garantir a consistência dos dados.

Para obter mais informações sobre os parâmetros de montagem, consulte Mount a file system by using a CPFS-NFS client (Recommended).

Etapa 3: Verifique a criptografia

Após a montagem do sistema de arquivos, você pode verificar se a criptografia está ativada checando o processo Stunnel e as conexões de rede.

Verifique o processo Stunnel: confirme se o processo de proxy do Stunnel está em execução.
```
ps aux | grep stunnel
```
Verifique a conexão de rede: confirme se o Stunnel estabeleceu uma conexão criptografada com o servidor CPFS.
```
netstat -anp | grep stunnel
```
Você pode ver que o processo stunnel estabeleceu uma conexão com a porta 12049 no servidor CPFS.

Após a verificação, todas as operações de leitura e gravação no diretório montado são transmitidas pelo túnel criptografado.

Limitações

Limitações da criptografia no servidor
- Configurada na criação: A criptografia no servidor deve ser configurada ao crie um sistema de arquivos e não pode ser modificada após a criação.
- Limitação de algoritmo: Apenas o algoritmo AES-256 é suportado. Outros algoritmos, como o SM4, não são suportados.

Limitações da criptografia em trânsito

Sistemas de arquivos suportados: Apenas sistemas de arquivos CPFS de uso geral que utilizam o protocolo NFS são suportados.
Uso de porta: Por padrão, o processo do Stunnel requer a porta local 12049. Certifique-se de que esta porta não esteja ocupada por outros serviços.

Você pode execute o comando ss -ant | grep -w 12049 para verificar se a porta está ocupada. Se o comando retornar um resultado vazio, a porta não está ocupada. Se a porta estiver ocupada, você poderá alterá-la por meio de modifying the configuration file .
Uso de endereço IP local: Cada ponto de montagem com criptografia em trânsito ativada ocupa sequencialmente um endereço IP no intervalo de 127.0.1.1 a 127.0.255.254. O endereço IP é liberado quando o sistema de arquivos é desmontado. Você pode execute o comando cat /etc/hosts para visualize o uso atual.
Modos de montagem mutuamente exclusivos: Você não pode usar os modos criptografado (TLS) e não criptografado para montar o mesmo sistema de arquivos no mesmo ponto de montagem. Para alternar entre os modos, você deve primeiro desmontar o ponto de montagem existente.

Sistemas operacionais suportados: Apenas as seguintes versões de sistemas operacionais de 64 bits são suportadas.

Tipo de sistema operacional	Versão do sistema operacional
alibaba cloud Linux	alibaba cloud Linux 3.2104 64 bits alibaba cloud Linux 2.1903 64 bits
CentOS	CentOS 8.x 64 bits CentOS 7.x 64 bits
Ubuntu	Ubuntu 20.04 64 bits Ubuntu 18.04 64 bits Ubuntu 16.04 64 bits
Debian	Debian 10.x 64 bits Debian 9.x 64 bits Debian 8.x 64 bits
SUSE	SUSE Linux Enterprise Server 15 64 bits

Solução de problemas e logs

Os logs do cliente relacionados à criptografia em trânsito estão localizados no diretório /var/log/aliyun/alinas/. Você pode ajustar a configuração de logs, modifique o arquivo /etc/aliyun/alinas/alinas-utils.conf:

Parâmetro	Descrição	Padrão
`logging_level`	O nível de log para a ferramenta de cliente.	INFO
`logging_max_bytes`	O tamanho máximo de um único arquivo de log.	1048576 (1 MB)
`logging_file_count`	O número máximo de arquivos de log a serem retidos.	10
`stunnel_debug_enabled`	Ativa ou desativa o log de depuração do Stunnel. Quando ativado, informações mais detalhadas do handshake TLS são geradas.	false
`stunnel_check_cert_hostname`	especifique se deve verificar o nome de domínio do certificado do servidor. Recomendamos defina como `true` em um ambiente de produção.	false
`stunnel_check_cert_validity`	especifique se deve verificar o período de validade e o emissor do certificado do servidor. Recomendamos defina este parâmetro como `true` em um ambiente de produção.	false

Após modificar a configuração, execute o seguinte comando para reiniciar o service:

sudo service aliyun-alinas-mount-watchdog restart

Considerações para produção

Riscos de gerenciamento de chaves (criptografia no servidor): Se você usar uma Customer-managed key, deverá estabelecer um processo rigoroso de gerenciamento de chaves. Se uma chave for desativada ou excluída, o sistema de arquivos criptografado ficará inacessível e os dados serão irrecuperáveis. Recomendamos ative o recurso de proteção contra exclusão para suas chaves no KMS.
Gerenciamento de certificados (criptografia em trânsito)

O recurso de criptografia em trânsito do cliente CPFS depende de certificados de terceiros que devem ser renovados periodicamente. O CPFS notifica você por e-mail e mensagem interna com um mês de antecedência. atualize prontamente a ferramenta de cliente aliyun-alinas-utils. A falha em atualize o cliente fará com que os sistemas de arquivos montados com criptografia em trânsito parem de responder após a expiração do certificado.

Perguntas frequentes

P: Acesso aos dados quando a chave de criptografia é desativada ou excluída?

R: Não. Se você usar uma Customer-managed key, o sistema de arquivos criptografado ficará completamente inacessível para operações de leitura e gravação caso a chave seja desativada ou excluída. Gerencie as chaves com cuidado.

P: A criptografia no servidor reduz a capacidade de armazenamento?

R: Não. O AES é uma cifra de bloco com um mecanismo de preenchimento automático. Esses dados de preenchimento não são contabilizados na capacidade de armazenamento do seu sistema de arquivos.

P: A criptografia no servidor suporta o algoritmo SM4?

R: Não. A criptografia no servidor do CPFS usa o algoritmo padrão de mercado AES-256 para proteger dados em repouso e emprega criptografia de envelope para impedir o acesso não autorizado aos dados. As chaves de criptografia no servidor são geradas e gerenciadas usando o KMS. O KMS garante a confidencialidade, integridade e disponibilidade das suas chaves. Para obter mais informações sobre criptografia, consulte Use envelope encryption with KMS to encrypt and decrypt data locally.

P: O que significa este erro de montagem: The mountpoint <mountpoint> is already mounted with tls/non-tls, mixing tls and non-tls is not supported in this version?

R: Causa: Um ponto de montagem não pode suportar simultaneamente os modos criptografado (TLS) e não criptografado (não-TLS). O cliente detecta essa tentativa de montagem mista, relata um erro e encerra a operação.

Solução: Use o comando umount para desmontar o ponto de montagem atual, escolha o modo TLS ou não-TLS e, em seguida, execute o comando de montagem novamente.

P: O que significa este erro de montagem: Cannot mount with tls/non-tls now, please wait <sec> seconds for the unmount to complete?

R: Causa: Ao alternar entre os modos criptografado e não criptografado, o sistema exige um breve período de carência após a desmontagem antes que você possa remontar. Este erro ocorre se você tentar remontar rápido demais durante esse período.

Solução:

Aguarde o número de segundos especificado na mensagem de erro e, em seguida, execute o comando de montagem novamente.
Você também pode ajustar a duração do período de carência de desmontagem configurando o parâmetro unmount_grace_period_sec. Para obter mais informações sobre a configuração, consulte CPFS client parameter configuration details.