O OSS oferece criptografia no lado do servidor, criptografia no lado do cliente e criptografia de transmissão HTTPS (SSL/TLS) para proteger seus dados em repouso e em trânsito.
Criptografia no lado do servidor
O OSS é compatível com criptografia no lado do servidor (SSE) para dados enviados. O service criptografa os dados antes de persisti-los e os descriptografa automaticamente durante o download. O cabeçalho de resposta HTTP indica que a criptografia no lado do servidor foi aplicada.
A criptografia no lado do servidor protege dados em repouso. Essa abordagem é ideal para cenários que exigem alta segurança ou conformidade, como armazenamento de amostras de deep learning ou documentos colaborativos. O OSS oferece suporte a dois métodos de SSE:
-
SSE-KMS: criptografia com chave gerenciada pelo KMS
É possível criptografar objetos com a chave mestra do cliente (CMK) padrão gerenciada pelo KMS ou com um ID de CMK específico. Esse método lida com criptografia em grande escala a baixo custo, pois os dados não são enviados ao servidor KMS pela rede.
O KMS é um service de gerenciamento de chaves fornecido pela Alibaba Cloud que cuida da confidencialidade, integridade e disponibilidade das chaves, permitindo que você se concentre na lógica de criptografia. Visualize e gerencie as chaves no console do KMS.
Para evitar acessos não autorizados, o KMS utiliza AES256 e criptografia de envelope. Ele gera chaves de criptografia de dados e as criptografa com sua CMK. Use a chave KMS padrão gerenciada pelo OSS ou traga sua própria chave (BYOK). O material da chave BYOK pode ser fornecido pela Alibaba Cloud ou importado por você.
Fluxo de trabalho de criptografia SSE-KMS:
-
SSE-OSS: criptografia gerenciada pelo OSS
O SSE-OSS é um atributo de objeto que usa AES256 para criptografar cada objeto com uma chave exclusiva. Uma chave mestra criptografa ainda mais essas chaves de dados. Recomenda-se esse método para cenários de criptografia em lote.
O OSS gera e gerencia todas as chaves de criptografia de dados. Defina o método de criptografia padrão de um bucket como AES256 ou inclua o cabeçalho
X-OSS-server-side-encryptioncom o valorAES256ao enviar ou modificar um objeto.
Criptografia no lado do cliente
A criptografia no lado do cliente criptografa objetos localmente antes de enviá-los ao OSS. Você é responsável pela integridade e correção da chave mestra e dos metadados de criptografia durante operações de cópia ou migração.
Uma chave aleatória de criptografia de dados é gerada por objeto e usada para criptografar simetricamente os dados desse objeto. A chave mestra então criptografa essa chave de dados, e a chave de dados criptografada é armazenada como metadados do objeto no servidor. Para descriptografia, a chave mestra descriptografa a chave de dados, que por sua vez descriptografa o objeto. A chave mestra nunca sai do cliente — ela não é transmitida pela rede nem armazenada no servidor.
Dois métodos estão disponíveis para gerenciar chaves mestras:
-
Chaves mestras do cliente gerenciadas pelo KMS
Com uma CMK gerenciada pelo KMS, basta especificar o ID da CMK durante o envio — nenhuma chave de criptografia é necessária no cliente. A figura a seguir ilustra esse processo.
-
Chaves gerenciadas pelo cliente
No caso de chaves gerenciadas pelo cliente, você mesmo gera e armazena as chaves de criptografia. Forneça uma chave simétrica ou assimétrica ao cliente de criptografia local para cada operação. A figura a seguir ilustra o processo de criptografia.
Criptografia em trânsito (HTTPS/TLS)
O OSS oferece suporte a acesso via HTTP e HTTPS. Utilize defina the TLS version para atender aos seus requisitos de segurança. O TLS garante confidencialidade e integridade dos dados entre aplicativos em comunicação, protegendo as informações durante a transmissão.