As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Migração do cliente de criptografia Amazon S3 (V2 para V3)

Este tópico mostra como migrar seus aplicativos da versão 2 (V2) do cliente de criptografia Amazon Simple Storage Service (Amazon S3) para a versão 3 (V3) e garantir a disponibilidade dos aplicativos durante todo o processo de migração. A V3 apresenta o AES GCM com as principais políticas de compromisso e compromisso para aprimorar a segurança e proteger contra a adulteração de chaves de dados.

Visão geral da migração

A versão 3 do cliente de criptografia Amazon S3 introduz o AES GCM com Key Commitment para aumentar a segurança. Esse novo algoritmo de criptografia fornece proteção contra adulteração de chaves de dados e garante a integridade dos dados criptografados. A migração para a V3 exige um planejamento cuidadoso para manter a disponibilidade dos aplicativos e a acessibilidade dos dados durante todo o processo.

Essa migração acontece em duas fases:

1. Atualize os clientes existentes para ler novos formatos. Primeiro, implante uma versão atualizada do AWS SDK for Ruby em seu aplicativo. Isso permitirá que os clientes de criptografia V2 existentes descriptografem objetos escritos pelos novos clientes V3. Se seu aplicativo usa vários AWS SDKs, você deve atualizar cada SDK separadamente.

2. Migre clientes de criptografia e descriptografia para a V3. Depois que todos os seus clientes de criptografia V2 puderem ler novos formatos, você poderá migrar seus clientes de criptografia e descriptografia existentes para suas respectivas versões V3. Isso inclui configurar políticas de compromisso e atualizar seu código para usar as novas opções de configuração do cliente.

Se você ainda não migrou da V1 para a V2, deve primeiro concluir essa migração. Consulte Migração do cliente de criptografia Amazon S3 (V1 para V2) para obter instruções detalhadas sobre a migração da V1 para a V2.

Compreendendo os recursos da V3

A versão 3 do cliente de criptografia Amazon S3 apresenta dois recursos principais de segurança: Políticas de compromisso e AES GCM com compromisso de chave. Compreender esses recursos é essencial para planejar sua estratégia de migração e garantir a segurança de seus dados criptografados.

Políticas de compromisso

As políticas de compromisso controlam como o cliente de criptografia lida com o comprometimento da chave durante as operações de criptografia e descriptografia. O compromisso da chave garante que os dados criptografados só possam ser descriptografados com a chave exata usada para criptografá-los, protegendo contra certos tipos de ataques criptográficos.

O cliente de criptografia V3 oferece suporte a três opções de política de compromisso:

FORBID_ENCRYPT_ALLOW_DECRYPT

Essa política criptografa objetos sem comprometimento de chave e permite a descriptografia de objetos com e sem comprometimento de chave.

REQUIRE_ENCRYPT_ALLOW_DECRYPT

Essa política criptografa objetos com comprometimento de chave e permite a descriptografia de objetos com e sem compromisso de chave.

REQUIRE_ENCRYPT_REQUIRE_DECRYPT

Essa política criptografa objetos com comprometimento de chave e só permite a descriptografia de objetos que foram criptografados com comprometimento de chave.

AES GCM com compromisso fundamental

O AES GCM com Key Commitment (ALG_AES_256_GCM_HKDF_SHA512_COMMIT_KEY) é um novo algoritmo de criptografia introduzido na V3 que fornece segurança aprimorada ao proteger contra adulteração de chaves de dados. Entender como esse algoritmo funciona e quando ele se aplica é importante para planejar sua migração.

Como ALG_AES_256_GCM_HKDF_SHA512_COMMIT_KEY difere dos algoritmos anteriores

As versões anteriores do cliente de criptografia S3 usavam AES CBC ou AES GCM sem compromisso de chave para criptografar a chave de dados nos arquivos de instruções. ALG_AES_256_GCM_HKDF_SHA512_COMMIT_KEYadiciona um compromisso criptográfico ao processo de criptografia, que vincula os dados criptografados a uma chave específica. Isso evita que um invasor adultere a chave de dados criptografada no Arquivo de Instruções e faça com que o cliente decodifique os dados com uma chave incorreta.

Sem o comprometimento da chave, pode ser possível que um invasor modifique a chave de dados criptografada em um arquivo de instruções para que ela seja decodificada em uma chave diferente, potencialmente permitindo acesso não autorizado ou corrupção de dados. ALG_AES_256_GCM_HKDF_SHA512_COMMIT_KEYevita esse ataque, garantindo que a chave de dados criptografada só possa ser decodificada para a chave original que foi usada durante a criptografia.

Compatibilidade de versões

Objetos criptografados com só ALG_AES_256_GCM_HKDF_SHA512_COMMIT_KEY podem ser descriptografados por implementações V3 do cliente de criptografia S3 e determinadas versões de transição da V2 que incluem suporte para leitura de formatos V3. Clientes V2 sem esse suporte de transição não podem descriptografar arquivos de instruções criptografados com. ALG_AES_256_GCM_HKDF_SHA512_COMMIT_KEY

Durante a migração, você pode usar a política de FORBID_ENCRYPT_ALLOW_DECRYPT compromisso para continuar ALG_AES_256_GCM_HKDF_SHA512_COMMIT_KEY criptografando sem permitir que seus clientes V3 leiam objetos criptografados com comprometimento de chave. Isso fornece um caminho de migração seguro em que você primeiro atualiza todos os leitores e, em seguida, muda para a criptografia com o compromisso principal.

Atualizar os clientes existentes para ler novos formatos

O cliente de criptografia V3 usa algoritmos de criptografia e os principais recursos de comprometimento que os clientes V2 não suportam por padrão. A primeira etapa da migração é atualizar seus clientes de descriptografia V2 para uma versão do SDK for AWS Ruby que possa ler objetos criptografados V3. Depois de concluir essa etapa, os clientes V2 do seu aplicativo poderão descriptografar objetos criptografados por clientes de criptografia V3.

Para ler objetos criptografados por clientes V3 (aqueles que usam REQUIRE_ENCRYPT_ALLOW_DECRYPT nossas políticas de REQUIRE_ENCRYPT_REQUIRE_DECRYPT compromisso), você precisa usar a versão 1.93.0 ou posterior do gem. aws-sdk-s3 Essa versão inclui suporte para descriptografar objetos criptografados com o AES GCM com Key Commitment.

Instalação pela linha de comando

Para projetos que instalam o aws-sdk-s3 gem pela linha de comando, use a opção de versão para verificar se a versão mínima de 1.208.0 está instalada.

gem install aws-sdk-s3 -v '>= 1.208.0'

Uso de Gemfiles

Para projetos que usam um Gemfile para gerenciar dependências, defina a versão mínima do aws-sdk-s3 gem como 1.208.0. Por exemplo:

gem 'aws-sdk-s3', '>= 1.208.0'

Migre clientes de criptografia e descriptografia para a V3

Depois de atualizar seus clientes para ler os novos formatos de criptografia, você pode atualizar seus aplicativos para os clientes de criptografia e descriptografia V3. As etapas a seguir mostram como migrar com sucesso seu código da V2 para a V3.

Antes de atualizar seu código para usar o cliente de criptografia V3, verifique se você seguiu as etapas anteriores e está usando a aws-sdk-s3 gem versão 1.93.0 ou posterior.

Configurando clientes V3

O cliente de criptografia V3 apresenta novas opções de configuração que controlam o comportamento de comprometimento de chaves e a compatibilidade com versões anteriores. Compreender essas opções é essencial para uma migração bem-sucedida.

política de compromisso

O commitment_policy parâmetro controla como o cliente de criptografia lida com o comprometimento da chave durante as operações de criptografia e descriptografia. Essa é a opção de configuração mais importante para clientes V3.

perfil_de segurança

O security_profile parâmetro determina o suporte para leitura de objetos escritos por versões mais antigas do cliente de criptografia. Esse parâmetro é essencial para manter a compatibilidade com versões anteriores durante a migração.

localização_do_envelope

O envelope_location parâmetro determina onde os metadados de criptografia (incluindo a chave de dados criptografada) são armazenados. Esse parâmetro afeta quais objetos são protegidos pelo AES GCM com Key Commitment.

Ao usar:instruction_file, você pode especificar opcionalmente o instruction_file_suffix parâmetro para personalizar o sufixo usado para objetos do Arquivo de Instruções. O sufixo padrão é.instruction.

Quando usar cada opção de configuração

Durante a migração, siga esta estratégia de configuração recomendada:

Poisenvelope_location, continue usando seu método de armazenamento existente (:metadataou:instruction_file), a menos que você tenha um motivo específico para alterá-lo. Se você estiver usando atualmente o armazenamento de metadados e quiser a segurança adicional do AES GCM com Key Commitment para a chave de dados, você pode mudar para:instruction_file, mas observe que isso exigirá a atualização de todos os clientes que leem esses objetos.

Migre clientes de criptografia e descriptografia para a V3

Depois de atualizar seus clientes para ler os novos formatos de criptografia, você pode atualizar seus aplicativos para os clientes de criptografia e descriptografia V3. Os exemplos a seguir mostram como migrar com sucesso seu código da V2 para a V3.

Usando clientes de criptografia V3

Pré-migração (V2)

require 'aws-sdk-s3'

# Create V2 encryption client with KMS
client = Aws::S3::EncryptionV2::Client.new(
  kms_key_id: kms_key_id,
  key_wrap_schema: :kms_context,
  content_encryption_schema: :aes_gcm_no_padding,
  security_profile: :v2_and_legacy,
  commitment_policy: :forbid_encrypt_allow_decrypt
)

# Encrypt and upload object
client.put_object(bucket: 'my-bucket', key: 'my-object', body: 'secret data')

# Download and decrypt object
resp = client.get_object(bucket: 'my-bucket', key: 'my-object')
decrypted_data = resp.body.read

Durante a migração (V3 com compatibilidade com versões anteriores)

require 'aws-sdk-s3'

# Create V3 encryption client with KMS
client = Aws::S3::EncryptionV3::Client.new(
  kms_key_id: kms_key_id,
  key_wrap_schema: :kms_context,
  content_encryption_schema: :aes_gcm_no_padding,
  security_profile: :v3_and_legacy,
  commitment_policy: :require_encrypt_allow_decrypt
)

# Encrypt and upload object
client.put_object(bucket: 'my-bucket', key: 'my-object', body: 'secret data')

# Download and decrypt object
resp = client.get_object(bucket: 'my-bucket', key: 'my-object')
decrypted_data = resp.body.read

Pós-migração (V3)

require 'aws-sdk-s3'

# Create V3 encryption client with KMS
client = Aws::S3::EncryptionV3::Client.new(
  kms_key_id: kms_key_id,
  key_wrap_schema: :kms_context,
  content_encryption_schema: :aes_gcm_no_padding,
  security_profile: :v3,
  # Use the commitment policy (REQUIRE_ENCRYPT_REQUIRE_DECRYPT)
  # This encrypts with key commitment and does not decrypt V2 objects
  commitment_policy: :require_encrypt_require_decrypt
)

# Encrypt and upload object
client.put_object(bucket: 'my-bucket', key: 'my-object', body: 'secret data')

# Download and decrypt object
resp = client.get_object(bucket: 'my-bucket', key: 'my-object')
decrypted_data = resp.body.read

A principal diferença na V3 é a adição do commitment_policy parâmetro. Configurá-lo para :require_encrypt_require_decrypt garantir que novos objetos sejam criptografados com comprometimento de chave e que o cliente esteja apenas descriptografando objetos criptografados com comprometimento de chave, fornecendo segurança aprimorada contra adulteração de chaves de dados.

A put_object chamada em si permanece inalterada. Todos os aprimoramentos de segurança são configurados no nível do cliente.

Exemplos adicionais

Esta seção fornece exemplos adicionais de cenários de migração específicos e opções de configuração que podem ser úteis durante a migração de V2 para V3.

Arquivo de instruções versus armazenamento de metadados

O cliente de criptografia S3 pode armazenar metadados de criptografia (incluindo a chave de dados criptografada) em dois locais diferentes: nos cabeçalhos de metadados do objeto S3 ou em um arquivo de instruções separado. A escolha do método de armazenamento afeta quais objetos se beneficiam do AES GCM com a proteção Key Commitment.

Armazenamento de metadados (padrão)

Por padrão, o cliente de criptografia armazena metadados de criptografia nos cabeçalhos de metadados do objeto S3. Essa é a abordagem recomendada para a maioria dos casos de uso, pois mantém os metadados de criptografia com o objeto e não exige o gerenciamento de objetos separados do Arquivo de Instruções.

require 'aws-sdk-s3'

# Create V3 encryption client with metadata storage (default)
client = Aws::S3::EncryptionV3::Client.new(
  kms_key_id: kms_key_id,
  key_wrap_schema: :kms_context,
  content_encryption_schema: :aes_gcm_no_padding,
  security_profile: :v3_and_legacy,
  commitment_policy: :require_encrypt_allow_decrypt,
  envelope_location: :metadata # Explicitly set to metadata (this is the default)
)

# Encrypt and upload object
# Encryption metadata is stored in the object's metadata headers
client.put_object(bucket: 'my-bucket', key: 'my-object',body: 'secret data')

Ao usar o armazenamento de metadados, o AES GCM com Key Commitment não se aplica à chave de dados criptografada. No entanto, a criptografia de conteúdo ainda se beneficia do comprometimento da chave ao usar commitment_policy: :require_encrypt_allow_decrypt ou:require_encrypt_require_decrypt.

Armazenamento de arquivos de instruções

Como alternativa, você pode configurar o cliente de criptografia para armazenar metadados de criptografia em um objeto S3 separado chamado Arquivo de Instrução. Ao usar arquivos de instruções com a V3, a chave de dados criptografada é protegida pelo AES GCM com Key Commitment, fornecendo segurança adicional contra a adulteração da chave de dados.

require 'aws-sdk-s3'

# Create V3 encryption client with instruction file storage
client = Aws::S3::EncryptionV3::Client.new(
  kms_key_id: kms_key_id,
  key_wrap_schema: :kms_context,
  content_encryption_schema: :aes_gcm_no_padding,
  security_profile: :v3_and_legacy,
  commitment_policy: :require_encrypt_allow_decrypt,
  envelope_location: :instruction_file, # Store metadata in separate instruction file
  instruction_file_suffix: '.instruction' # Optional: customize the suffix (default is '.instruction')
)

# Encrypt and upload object
# Encryption metadata is stored in a separate object: 'my-object.instruction'
client.put_object(bucket: 'my-bucket', key: 'my-object', body: 'secret data')

# When retrieving the object, the client automatically reads the instruction file
resp = client.get_object(bucket: 'my-bucket', key: 'my-object')
decrypted_data = resp.body.read

Ao usarenvelope_location: :instruction_file, o cliente de criptografia cria dois objetos do S3:

O instruction_file_suffix parâmetro permite que você personalize o sufixo usado para arquivos de instruções. O valor padrão é .instruction.

Quando usar cada método de armazenamento