ApsaraDB RDS:Use the TDE feature

Descrição do recurso

O TDE criptografa e descriptografa arquivos de dados em tempo real durante operações de E/S. Ele criptografa dados em REST na camada do banco de dados. Isso impede que invasores contornem o banco de dados para ler informações confidenciais diretamente do armazenamento. O TDE permite que aplicativos e usuários autenticados acessem os dados do aplicativo em texto simples, sem necessidade de modificar o código ou as configurações do aplicativo para descriptografia. No entanto, o TDE impede que usuários do sistema operacional (SO) leiam informações confidenciais em arquivos de tablespace e acessem os dados em texto simples. O recurso também bloqueia usuários não autorizados que tentem ler dados de backup e dados em disco.

• Transparente: O sistema criptografa os dados automaticamente ao gravá-los em um disco e os descriptografa ao lê-los do disco. Esses processos de criptografia e descriptografia são imperceptíveis aos usuários.

• Criptografia de dados: O sistema usa a chave de service fornecida pelo Key Management Service (KMS) ou a chave personalizada enviada ao KMS para criptografar os arquivos de dados.

  Nota

  • O KMS cria e gerencia a chave usada no TDE. O ApsaraDB RDS não fornece as chaves ou os certificados necessários para a criptografia.

  • O ApsaraDB RDS for PostgreSQL oferece suporte a chaves dos tipos Aliyun_AES_256 e Aliyun_SM4.

Benefícios

O recurso TDE oferece os seguintes benefícios:

• Criptografia no nível de tabela e de índice: use o TDE para criptografar e descriptografar tabelas e índices.

• Criptografia e descriptografia de vários objetos simultaneamente: use o TDE para criptografar e descriptografar todos os índices de uma tabela de uma só vez. Além disso, aplique o recurso a todas as tabelas de um banco de dados.

• Baixa perda de desempenho: ativar o TDE afeta levemente o desempenho. Em cenários de negócios normais, a redução de desempenho em tabelas criptografadas é de aproximadamente 4%.

Princípio

Termos

• Chave de criptografia de chave (KEK): use a chave de service do KMS ou uma chave mestra do cliente (CMK) para criptografar as chaves de criptografia de dados (DEKs).

• DEK: o banco de dados gera uma DEK para criptografar e descriptografar dados.

Processo

Todas as operações de criptografia e descriptografia ocorrem na memória. Os dados na memória permanecem em texto simples, enquanto os dados no disco ficam em texto cifrado. Isso ajuda a evitar vazamentos de dados em caso de roubo do disco. Não é necessário alterar o modo de uso do banco de dados.

Quando o banco de dados inicia, o sistema obtém a KEK do KMS para descriptografar a DEK. Em seguida, armazena a DEK descriptografada na memória e a utiliza para criptografar ou descriptografar dados durante a gravação ou leitura.