Proteger dados usando a criptografia de servidor com chaves de criptografia fornecidas pelo cliente (SSE-C) - Amazon Simple Storage Service

Proteger dados usando a criptografia de servidor com chaves de criptografia fornecidas pelo cliente (SSE-C)

A criptografia de servidor envolve a proteção de dados em repouso. A criptografia no lado do servidor criptografa somente os dados de objeto, não os metadados de objeto. Usar a criptografia de servidor com chaves de criptografia fornecidas pelo cliente (SSE-C) permite definir suas próprias chaves de criptografia. Com a chave de criptografia que você fornece como parte de sua solicitação, o Amazon S3 gerencia a criptografia ao gravar em discos, e a descriptografia quando você acessa seus objetos. Portanto, você não precisa manter um código para executar a criptografia e a descriptografia de dados. A única coisa a fazer é gerenciar as chaves de criptografia que você fornece.

Quando você faz upload de um objeto, o Amazon S3 usa a chave de criptografia fornecida para aplicar a criptografia AES-256 aos seus dados e elimina a chave de criptografia da memória. Ao recuperar um objeto, você precisa fornecer a mesma chave de criptografia como parte de sua solicitação. O Amazon S3 confirma primeiro se há correspondência da chave de criptografia fornecida e, em seguida, descriptografa o objeto antes de devolver os dados dele para você.

Importante

O Amazon S3 não armazena a chave de criptografia que você fornece. Em vez disso, ele armazena um valor de HMAC com salt aleatório da chave de criptografia para validar solicitações futuras. O valor de HMAC com salt não pode ser usado para derivar o valor da chave de criptografia ou para decifrar o conteúdo do objeto criptografado. Isso significa que, se você perder a chave de criptografia, perderá o objeto.

Visão geral do SSE-C

Esta seção fornece uma visão geral do SSE-C.

  • Você deve usar HTTPS.

    Importante

    O Amazon S3 rejeitará todas as solicitações feitas por HTTP ao usar o SSE-C. Por questões de segurança, recomendamos considerar que todas as chaves enviadas erroneamente por HTTP como estando comprometidas. Você deve descartar a chave e alterná-la conforme apropriado.

  • O ETag na resposta não é o MD5 dos dados de objeto.

  • Você gerencia um mapeamento cuja chave de criptografia foi usada para criptografar objetos. O Amazon S3 não armazena chaves de criptografia. Você é responsável por acompanhar a chave de criptografia que forneceu para um objeto.

    • Se seu bucket tiver versionamento ativado, cada versão de objeto carregada usando esse recurso poderá ter sua própria chave de criptografia. Você é responsável por acompanhar a chave de criptografia usada para uma versão de objeto.

    • Como gerencia chaves de criptografia no lado do cliente, você gerencia todas as proteções adicionais, como a alternância de chave, no lado do cliente.

    Atenção

    Se você perder a chave de criptografia, qualquer solicitação GET de um objeto sem chave de criptografia falhará e você perderá o objeto.

Tópicos

Para obter mais informações, consulte os tópicos a seguir: