Proceso de cifrado de base de datos

Proceso de cifrado

Cuando un usuario guarda datos, si Cifrado de base de datos está activo, el servicio de cifrado de base de datos intenta recuperar las claves de cifrado necesarias desde su caché de claves cifradas. Si la clave no está en el caché, el servicio solicita el secreto de arrendatario de la base de datos al Sistema de gestión de claves (KMS) regional. La transferencia de datos entre KMS y el servicio de cifrado está protegida por el protocolo TLS mutuo (mTLS), utilizando un certificado rotado regularmente. El secreto de arrendatario recuperado se almacena a continuación en la caché de claves cifradas.

Una vez que un fragmento de base de datos está listo para escribirse, el servicio de cifrado genera una sal única por fragmento. Esta sal, junto con el secreto de arrendatario de la base de datos, se alimenta a una función de derivación de clave (KDF) para derivar una clave de cifrado de datos (DEK) exclusiva para ese fragmento específico. El fragmento completo se cifra a continuación utilizando OpenSSL AESGCM-256. La sal por fragmento y un identificador para el material de claves utilizado se guardan junto con el fragmento cifrado en la base de datos.

Proceso de descifrado

Cuando un usuario autenticado solicita datos cifrados, el servicio de cifrado de base de datos recupera los fragmentos de base de datos cifrados relevantes, junto con su sal por fragmento asociada y una referencia al secreto de arrendatario utilizado durante el cifrado. El servicio comprueba primero su caché de claves para el DEK coincidente. Si no se encuentra, solicita el secreto de arrendatario de la base de datos al KMS regional (de nuevo, protegido por mTLS) y lo almacena en la memoria caché. La base de datos utiliza a continuación el secreto de arrendatario recuperado y la sal por fragmento en el KDF para derivar el DEK correcto. Finalmente, los datos se descifran y se devuelven al usuario.