Aportar su propia descripción general de clave

Permisos requeridos

Para trabajar con claves de cifrado, necesita el permiso Gestionar claves de cifrado. Para generar certificados compatibles con BYOK, necesita el permiso Personalizar aplicación.

Proceso de generación y carga de BYOK

Salesforce almacena datos en varias bases de datos y almacenes de datos que pueden variar en arquitectura. Como Shield Platform Encryption utiliza material de claves exclusivo para cada establecimiento de datos, no todas las claves proporcionadas por el cliente tienen el mismo tamaño, ajuste y requisitos de codificación.

• Dependiendo de los requisitos de certificado para cada clave, cree un certificado autofirmado o CA para envolver su material de claves.
• Genere su material de claves de 256 bits. Diferentes tipos de material clave requerían diferentes métodos de generación.
• Envuelva el material de claves con la clave pública del certificado.
• Codifique el secreto cifrado y empaquetado con codificación base64.
• Cargue su material clave.

Salesforce proporciona secuencias de comandos para ayudarle a automatizar este proceso y garantizar una clave compatible con el servicio lista para cargar.

Importante Proporcionamos secuencias de comandos bash para Linux y MacOs. Para trabajar con estas secuencias de comandos en un sistema operativo Windows, utilice un emulador de Linux.

BYOK para Cifrado a nivel de campo, Archivos y Datos de bus de eventos

Para Cifrado a nivel de campo (FLE), archivos y archivos adjuntos y datos de bus de eventos, crea y carga dos archivos:

• Un archivo que contiene la clave de 256 bits cifrada
• Un archivo que contiene el hash de la clave de 256 bits cifrada

Salesforce utiliza de forma predeterminada su secreto cargado como secreto de arrendatario como parte de una función de derivación de claves (KDF). Puede anular la derivación de claves clave por clave y utilizar su material de claves cargado como la clave de cifrado de datos final (DEK). De este modo, controla las claves utilizadas para cifrar y descifrar operaciones.

El material clave y los DEK proporcionados por el cliente para estas categorías de datos deben cumplir estas especificaciones:

• Tamaño de 256 bits
• Cifrado con una clave RSA de 4096 bits pública que se extrae del certificado BYOK descargado, luego se rellena utilizando el algoritmo de relleno SHA1 con relleno OAEP. Para ser compatible con Salesforce BYOK, utilice un par de claves RSA cifradas con PKCS#8 (de 2048 bits o más) con encabezados y pies de página apropiados.
• Después de cifrarlo, codifique en base64 estándar.

BYOK para Copia de seguridad y Recuperar siguiente, Data 360, Cifrado de base de datos e Índices de búsqueda

Salesforce protege las claves raíz cargadas con una combinación de certificados y tokens. Generamos certificados para usted. A continuación incluye su clave proporcionada por el cliente con este certificado antes de cargar. Este proceso garantiza que su clave sea compatible con nuestro proceso de almacenamiento cifrado.

Salesforce también genera tokens que contienen metadatos que verifican la autenticidad de su clave cargada. Utilizamos dos tipos de tokens:

• Los tokens de importación proporcionan una gestión de claves segura durante el proceso de carga y son válidos durante 24 horas. BYOK para Data 360 utiliza tokens de importación.
• Los tokens de sesión son válidos durante la sesión en la que se crean. BYOK para índices de búsqueda y Cifrado de base de datos utiliza tokens de sesión.

Puede generar un nuevo certificado y sesión o importar token en cualquier momento.

Genere claves raíz proporcionadas por el cliente para índices de búsqueda, Cifrado de base de datos y Cifrado de plataforma para Data 360 de acuerdo con estas especificaciones:

• Tamaño de 256 bits
• Requiere un proceso de inclusión de claves de dos etapas para preparar la carga de BYOK, alineada con el CKM_RSA_AES_KEY_WRAP PKCS#11.

  Cifre la clave de 256 bits con la clave pública RSA de 4096 bits extraída del certificado BYOK descargado. Este proceso de cifrado utiliza RSA-OAEP y MGF1 con SHA-512.

  Ajuste la clave AES generada por el cliente de 256 bits utilizando la clave de ajuste AES a través de AES Key Wrap with Padding (AES-KWP, RFC 5649). La carga final consiste en la clave de inclusión cifrada por RSA, seguida de la clave de cliente incluida en AES.

• Codifique la clave cifrada en base64 estándar.

Rotación de claves BYOK

Puede rotar claves BYOK del mismo modo que otras claves gestionadas a través Shield Platform Encryption. La clave cargada más recientemente es la clave activa designada y cifra nuevos datos. Las claves más antiguas se archivan y se utilizan para descifrar datos existentes.