Azure enkripsi data saat tidak aktif

Microsoft Azure mencakup alat untuk melindungi data sesuai dengan kebutuhan keamanan dan kepatuhan perusahaan Anda. Artikel ini berfokus pada:

• Bagaimana data dilindungi saat tidak aktif di seluruh Microsoft Azure.
• Berbagai komponen yang mengambil bagian dalam implementasi perlindungan data.
• Pro dan kontra dari berbagai pendekatan perlindungan manajemen kunci.

Enkripsi saat tidak aktif adalah persyaratan keamanan umum. Dalam Azure, data dienkripsi saat tidak aktif secara default dengan menggunakan kunci yang dikelola platform. Pendekatan ini memberi organisasi enkripsi otomatis tanpa risiko atau biaya solusi manajemen kunci kustom. Organisasi dapat mengandalkan Azure untuk sepenuhnya mengelola enkripsi saat tidak aktif dengan menggunakan kunci yang dikelola platform, atau mereka dapat menggunakan kunci yang dikelola pelanggan ketika mereka membutuhkan kontrol ekstra atas kunci enkripsi dan kebijakan manajemen kunci.

Apa itu enkripsi saat istirahat?

Enkripsi adalah pengodean data yang aman yang digunakan untuk melindungi kerahasiaan data. Enkripsi saat istirahat dirancang di Azure menggunakan enkripsi simetris untuk mengenkripsi dan mendekripsi data dalam jumlah besar dengan cepat sesuai dengan model konseptual sederhana:

• Kunci enkripsi simetris mengenkripsi data saat ditulis ke penyimpanan.
• Kunci enkripsi yang sama mendekripsi data tersebut saat siap digunakan dalam memori.
• Data dapat dipartisi, dan kunci yang berbeda dapat digunakan untuk setiap partisi.
• Kunci harus disimpan di lokasi yang aman dengan kontrol akses berbasis identitas dan kebijakan audit. Jika kunci enkripsi data disimpan di luar lokasi aman, kunci tersebut dienkripsi dengan menggunakan kunci enkripsi kunci yang disimpan di lokasi yang aman.

Dalam praktiknya, manajemen utama dan skenario kontrol, serta jaminan skala dan ketersediaan, memerlukan konstruksi tambahan. Bagian berikut menjelaskan konsep dan komponen enkripsi data saat diam di Microsoft Azure.

Tujuan enkripsi saat tidak aktif

Enkripsi saat tidak aktif melindungi data yang disimpan (saat tidak aktif). Serangan terhadap data tidak aktif mencakup upaya untuk mendapatkan akses fisik ke perangkat keras tempat data disimpan, lalu membahayakan data yang terkandung. Dalam serangan seperti itu, hard drive server mungkin salah ditangani selama pemeliharaan, yang memungkinkan penyerang untuk menghapus hard drive. Penyerang kemudian menempatkan hard drive ke komputer di bawah kendali mereka untuk mencoba mengakses data.

Enkripsi saat istirahat dirancang untuk mencegah penyerang mengakses data yang tidak terenkripsi dengan memastikan data dienkripsi ketika di disk. Jika penyerang mendapatkan hard drive dengan data terenkripsi tetapi bukan kunci enkripsi, penyerang harus mengalahkan enkripsi untuk membaca data. Serangan ini jauh lebih kompleks dan memakan sumber daripada mengakses data yang tidak terenkripsi pada hard drive. Untuk alasan ini, enkripsi saat istirahat sangat dianjurkan dan merupakan persyaratan prioritas tinggi bagi banyak organisasi.

Kebutuhan organisasi akan tata kelola data dan upaya kepatuhan mungkin juga memerlukan enkripsi saat tidak aktif. Peraturan industri dan pemerintah seperti HIPAA, PCI, dan FedRAMP, menjabarkan perlindungan khusus mengenai persyaratan perlindungan dan enkripsi data. Enkripsi saat istirahat adalah ukuran wajib yang diperlukan untuk mematuhi beberapa peraturan tersebut. Untuk informasi selengkapnya tentang pendekatan Microsoft untuk validasi FIPS 140, lihat Federal Information Processing Standard (FIPS) 140.

Selain memenuhi persyaratan kepatuhan dan peraturan, enkripsi saat istirahat memberikan perlindungan mendalam pada pertahanan. Microsoft Azure menyediakan platform yang sesuai untuk layanan, aplikasi, dan data. Ini juga menyediakan fasilitas komprehensif dan keamanan fisik, kontrol akses data, dan audit. Namun, penting untuk memberikan langkah-langkah keamanan "tumpang tindih" tambahan jika salah satu langkah keamanan lainnya gagal. Enkripsi saat tidak aktif menyediakan langkah-langkah keamanan seperti itu.

Microsoft berkomitmen untuk mengenkripsi opsi tidak aktif di seluruh layanan cloud dan memberi pelanggan kontrol kunci enkripsi dan log penggunaan kunci. Selain itu, Microsoft berupaya mengenkripsi semua data pelanggan saat tidak aktif secara default.

Opsi manajemen kunci

Azure menyediakan dua pendekatan utama untuk mengelola kunci enkripsi:

kunci yang dikelola Platform (Default) (terkadang juga disebut kunci yang dikelola layanan): Azure secara otomatis menangani semua aspek manajemen kunci enkripsi, termasuk pembuatan kunci, penyimpanan, rotasi, dan pencadangan. Pendekatan ini menyediakan enkripsi tidak aktif dengan konfigurasi nol yang diperlukan dari pelanggan dan diaktifkan secara default di seluruh layanan Azure. Kunci yang dikelola platform menawarkan tingkat kenyamanan tertinggi dan tidak memerlukan biaya tambahan atau overhead manajemen.

Kunci terkelola kustom (Opsional): Pelanggan yang memerlukan kontrol lebih besar atas kunci enkripsi mereka dapat memilih untuk mengelola kunci mereka sendiri dengan menggunakan Azure Key Vault atau Azure Managed HSM. Pendekatan ini memungkinkan pelanggan untuk mengontrol siklus hidup utama, kebijakan akses, dan operasi kriptografi. Kunci yang dikelola pelanggan memberikan kontrol tambahan dengan biaya peningkatan tanggung jawab dan kompleksitas manajemen.

Pilihan antara pendekatan ini tergantung pada persyaratan keamanan, kebutuhan kepatuhan, dan preferensi operasional organisasi Anda. Sebagian besar organisasi dapat mengandalkan kunci yang dikelola platform untuk perlindungan enkripsi yang kuat, sementara organisasi dengan persyaratan peraturan atau keamanan tertentu mungkin memilih kunci yang dikelola pelanggan.

Azure enkripsi saat tidak aktif

Seperti yang dijelaskan sebelumnya, tujuan enkripsi tidak aktif adalah bahwa data yang bertahan pada disk dienkripsi dengan kunci enkripsi rahasia. Untuk mencapai tujuan tersebut, pembuatan kunci aman, penyimpanan, kontrol akses, dan manajemen kunci enkripsi harus disediakan. Meskipun detailnya mungkin bervariasi, enkripsi layanan Azure saat tidak aktif dapat dijelaskan dalam istilah yang diilustrasikan dalam diagram berikut.

Azure Key Vault

Lokasi penyimpanan kunci enkripsi dan kontrol akses ke kunci tersebut adalah pusat bagi model enkripsi saat istirahat. Anda perlu sangat mengamankan kunci tetapi membuatnya dapat dikelola oleh pengguna tertentu dan tersedia untuk layanan tertentu. Untuk layanan Azure, Azure Key Vault (tingkat Premium) atau Azure Managed HSM adalah solusi penyimpanan utama yang direkomendasikan dan memberikan pengalaman manajemen umum di seluruh layanan. Anda menyimpan dan mengelola kunci di brankas kunci, dan Anda dapat memberi pengguna atau layanan akses ke brankas kunci. Azure Key Vault mendukung pembuatan kunci pelanggan atau impor kunci pelanggan untuk digunakan dalam skenario kunci enkripsi yang dikelola pelanggan.

Microsoft Entra ID

Anda dapat memberikan izin kepada akun Microsoft Entra untuk menggunakan kunci yang disimpan di Azure Key Vault, baik untuk pengelolaan maupun akses untuk enkripsi dan dekripsi Enkripsi Saat Data Tidak Aktif.

Enkripsi amplop dengan hierarki kunci

Anda menggunakan lebih dari satu kunci enkripsi dalam implementasi enkripsi saat tidak aktif. Menyimpan kunci enkripsi di Azure Key Vault memastikan akses kunci yang aman dan manajemen kunci terpusat. Namun, akses lokal layanan ke kunci enkripsi lebih efisien untuk enkripsi dan dekripsi massal daripada berinteraksi dengan Key Vault untuk setiap operasi data, memungkinkan enkripsi yang lebih kuat dan performa yang lebih baik. Membatasi penggunaan kunci enkripsi tunggal mengurangi risiko kunci disusupi dan biaya enkripsi ulang ketika kunci harus diganti. Azure enkripsi saat tidak aktif menggunakan model enkripsi amplop, di mana kunci untuk enkripsi mengenkripsi kunci enkripsi data. Model ini membentuk hierarki kunci yang lebih mampu memenuhi persyaratan performa dan keamanan:

• Kunci Enkripsi Data (DEK) – Kunci AES256 yang simetris digunakan untuk mengenkripsi partisi atau blok data, terkadang juga disebut sebagai Kunci Data. Satu sumber daya dapat memiliki banyak partisi dan banyak Kunci Enkripsi Data. Mengenkripsi setiap blok data dengan berbagai kunci membuat serangan analisis kripto lebih sulit. Memastikan DEK tetap berada di layanan yang melakukan enkripsi dan dekripsi data dapat memaksimalkan kinerja.
• Kunci Enkripsi Kunci (KEK) – Kunci enkripsi yang digunakan untuk mengenkripsi Kunci Enkripsi Data dengan menggunakan enkripsi amplop, juga disebut sebagai pembungkusan. Dengan menggunakan "Key Encryption Key" yang tidak pernah meninggalkan Key Vault, Anda dapat mengenkripsi dan mengontrol kunci enkripsi data. Entitas yang memiliki akses ke KEK dapat berbeda dari entitas yang memerlukan DEK. Entitas dapat memperantara akses ke DEK untuk membatasi akses setiap DEK ke partisi tertentu. Karena KEK diperlukan untuk mendekripsi DEK, pelanggan dapat menghapus DEK dan data secara kriptografis dengan menonaktifkan KEK. Perhatikan bahwa menonaktifkan KEK membuat semua layanan dependen tidak dapat diakses (misalnya, Azure SQL database TDE, akun Azure Storage dengan kunci yang dikelola pelanggan, dan VM yang dilindungi Azure Disk Encryption). Menonaktifkan juga hanya memengaruhi vault tempat kunci tersebut berada. Jika kunci dicadangkan dan dipulihkan ke vault lain, salinan yang dipulihkan tetap berfungsi penuh dan tidak terpengaruh oleh operasi nonaktifkan (lihat Pertimbangan keamanan cadangan).

Penyedia sumber daya dan instans aplikasi menyimpan Kunci Enkripsi Data terenkripsi sebagai metadata. Hanya entitas dengan akses ke Kunci Enkripsi Utama yang dapat mendekripsi Kunci Enkripsi Data. Berbagai model penyimpanan kunci didukung. Untuk informasi selengkapnya, lihat model enkripsi data.

Ketika layanan menyimpan cache DEK secara lokal untuk operasi kriptografi aktif, kunci yang di-cache dilindungi oleh kontrol keamanan platform Azure, termasuk isolasi komputasi tingkat host dan perlindungan tingkat proses. Kunci operasional yang disimpan dalam cache adalah mekanisme ketersediaan dan performa — KEK dalam Key Vault tetap menjadi akar dari kepercayaan, dan pemutusan kunci mengatur akses ke data terenkripsi.

Enkripsi saat tidak aktif di layanan cloud Microsoft

Anda menggunakan layanan Microsoft Cloud di ketiga model cloud: IaaS, PaaS, dan SaaS. Contoh berikut menunjukkan bagaimana mereka cocok di setiap model:

• Layanan perangkat lunak, disebut sebagai Software as a Service atau SaaS, yang memiliki aplikasi yang disediakan oleh cloud seperti Microsoft 365.
• Layanan platform tempat pelanggan menggunakan cloud untuk hal-hal seperti penyimpanan, analitik, dan fungsionalitas bus layanan dalam aplikasi mereka.
• Layanan infrastruktur, atau Infrastructure as a Service (IaaS) di mana pelanggan menggunakan sistem operasi dan aplikasi yang dihosting di cloud dan mungkin memanfaatkan layanan cloud lainnya.

Enkripsi saat istirahat untuk pelanggan SaaS

Pelanggan Software as a Service (SaaS) biasanya mengaktifkan atau menyediakan enkripsi saat istirahat di setiap layanan. Microsoft 365 memiliki beberapa opsi bagi pelanggan untuk memverifikasi atau mengaktifkan enkripsi saat tidak aktif. Untuk informasi tentang layanan Microsoft 365, lihat Encryption di Microsoft 365.

Enkripsi saat istirahat untuk pelanggan PaaS

Pelanggan Platform as a Service (PaaS) biasanya menyimpan data mereka dalam layanan penyimpanan seperti Blob Storage. Namun, data mungkin juga di-cache atau disimpan di lingkungan eksekusi aplikasi, seperti komputer virtual. Untuk melihat opsi enkripsi saat tidak aktif yang tersedia untuk Anda, periksa model Enkripsi data untuk platform penyimpanan dan aplikasi yang Anda gunakan.

Enkripsi saat istirahat untuk pelanggan IaaS

Pelanggan Infrastructure as a Service (IaaS) dapat menggunakan berbagai layanan dan aplikasi. Layanan IaaS dapat mengaktifkan enkripsi saat tidak aktif di komputer virtual yang dihosting Azure mereka dengan menggunakan enkripsi di host.

Penyimpanan terenkripsi

Seperti PaaS, solusi IaaS dapat memanfaatkan layanan Azure lain yang menyimpan data yang dienkripsi saat tidak aktif. Dalam kasus ini, Anda dapat mengaktifkan dukungan enkripsi saat tidak aktif seperti yang disediakan oleh setiap layanan Azure yang digunakan. Model Enkripsi data menghitung platform penyimpanan, layanan, dan aplikasi utama dan model enkripsi tidak aktif yang didukung.

Pengolahan terenkripsi

Semua Managed Disks, Rekam Jepret, dan Gambar dienkripsi secara default dengan menggunakan Enkripsi Layanan Penyimpanan dengan kunci yang dikelola platform. Enkripsi default ini tidak memerlukan konfigurasi pelanggan atau biaya tambahan. Solusi enkripsi yang lebih komprehensif memastikan bahwa semua data tidak pernah bertahan dalam bentuk yang tidak terenkripsi. Saat memproses data pada komputer virtual, sistem dapat menyimpan data ke file halaman Windows atau file pertukaran Linux, crash dump, atau ke log aplikasi. Untuk memastikan data ini juga dienkripsi saat tidak aktif, aplikasi IaaS dapat menggunakan enkripsi di host pada komputer virtual IaaS Azure, yang secara default menggunakan kunci yang dikelola platform tetapi dapat dikonfigurasi secara opsional dengan kunci yang dikelola pelanggan untuk kontrol tambahan.

Enkripsi kustom saat istirahat

Jika memungkinkan, aplikasi IaaS harus memanfaatkan enkripsi di host dan opsi enkripsi saat tidak aktif yang disediakan oleh layanan Azure yang digunakan. Dalam beberapa kasus, seperti persyaratan enkripsi tidak teratur atau penyimpanan berbasis non-Azure, pengembang aplikasi IaaS mungkin perlu menerapkan enkripsi saat tidak aktif sendiri. Pengembang solusi IaaS dapat berintegrasi dengan lebih baik dengan manajemen Azure dan harapan pelanggan dengan memanfaatkan komponen Azure tertentu. Secara khusus, pengembang harus menggunakan layanan Azure Key Vault untuk menyediakan penyimpanan kunci yang aman serta memberi pelanggan mereka opsi manajemen utama yang konsisten dengan layanan platform Azure. Selain itu, solusi kustom harus menggunakan identitas layanan terkelola Azure untuk memungkinkan akun layanan mengakses kunci enkripsi. Untuk informasi pengembang tentang Azure Key Vault dan Identitas Layanan Terkelola, lihat SDK masing-masing.

Dukungan model enkripsi penyedia sumber daya Azure

Microsoft Azure Services masing-masing mendukung satu atau beberapa model enkripsi saat tidak aktif. Namun, untuk beberapa layanan, satu atau beberapa model enkripsi mungkin tidak berlaku. Untuk layanan yang mendukung skenario kunci yang dikelola pelanggan, mereka mungkin hanya mendukung subset jenis kunci yang Azure Key Vault dukung untuk kunci enkripsi kunci. Selain itu, layanan mungkin merilis dukungan untuk skenario dan jenis kunci ini pada jadwal yang berbeda. Bagian ini menjelaskan dukungan enkripsi saat tidak aktif pada saat penulisan ini untuk setiap layanan penyimpanan data Azure utama.

Enkripsi disk VM Azure

Setiap pelanggan yang menggunakan fitur Azure Infrastructure as a Service (IaaS) dapat mengenkripsi disk IaaS VM mereka saat istirahat melalui enkripsi di host. Untuk informasi selengkapnya, lihat Enkripsi di host - Enkripsi menyeluruh untuk VM Anda.

penyimpanan Azure

Semua layanan Azure Storage (penyimpanan Blob, penyimpanan Antrean, penyimpanan Tabel, dan Azure Files) mendukung enkripsi sisi server saat tidak aktif dan beberapa layanan juga mendukung enkripsi sisi klien.

• Server-side (Default): Semua Layanan Azure Storage secara otomatis mengaktifkan enkripsi sisi server secara default menggunakan kunci yang dikelola platform. Enkripsi ini transparan untuk aplikasi dan tidak memerlukan konfigurasi. Untuk informasi lebih lanjut, lihat Enkripsi Layanan Azure Storage untuk Data yang Tersimpan. Pelanggan dapat secara opsional memilih untuk menggunakan kunci yang dikelola pelanggan di Azure Key Vault untuk kontrol tambahan. Untuk informasi selengkapnya, lihat enkripsi layanan Storage menggunakan kunci yang dikelola pelanggan di Azure Key Vault.
• Client-side (Opsional): Azure Blob, Tabel, dan Antrean mendukung enkripsi sisi klien bagi pelanggan yang perlu mengenkripsi data sebelum mencapai Azure. Saat menggunakan enkripsi sisi klien, pelanggan mengenkripsi data dan mengunggah data sebagai blob terenkripsi. Manajemen kunci dilakukan oleh pelanggan. Untuk informasi selengkapnya, lihat Enkripsi Client-Side dan Azure Key Vault untuk Microsoft Azure Storage.

Azure SQL Database

Azure SQL Database saat ini mendukung enkripsi saat tidak aktif untuk sisi layanan yang dikelola platform dan skenario enkripsi sisi klien.

Dukungan untuk enkripsi server saat ini disediakan melalui fitur SQL yang disebut Transparent Data Encryption. Setelah pelanggan Azure SQL Database mengaktifkan TDE, kunci secara otomatis dibuat dan dikelola untuk mereka. Anda dapat mengaktifkan enkripsi saat tidak aktif di tingkat database dan server. Pada Juni 2017, Transparent Data Encryption (TDE) diaktifkan secara default pada database yang baru dibuat. Azure SQL Database mendukung kunci yang dikelola pelanggan RSA 2048-bit di Azure Key Vault. Untuk informasi selengkapnya, lihat Transparent Data Encryption dengan dukungan Bring Your Own Key untuk Azure SQL Database dan Data Warehouse.

Enkripsi sisi klien data Azure SQL Database didukung melalui fitur Always Encrypted. Always Encrypted menggunakan kunci yang dibuat dan disimpan klien. Pelanggan dapat menyimpan kunci master di penyimpanan sertifikat Windows, Azure Key Vault, atau Modul Keamanan Perangkat Keras lokal. Dengan menggunakan SQL Server Management Studio, pengguna SQL memilih kunci apa yang ingin mereka gunakan untuk mengenkripsi kolom mana.

Kesimpulan

Perlindungan data pelanggan yang disimpan dalam layanan Azure sangat penting untuk Microsoft. Semua layanan yang dihosting Azure berkomitmen untuk menyediakan opsi enkripsi saat tidak aktif. Azure layanan mendukung kunci yang dikelola platform, kunci yang dikelola pelanggan, atau enkripsi sisi klien. Layanan Azure secara luas meningkatkan enkripsi saat data tidak digunakan serta opsi baru telah direncanakan untuk pratinjau dan ketersediaan umum pada bulan-bulan mendatang.

Langkah berikutnya

• Lihat model enkripsi data untuk mempelajari selengkapnya tentang kunci yang dikelola platform dan kunci yang dikelola pelanggan.
• Pelajari cara Azure menggunakan enkripsi double untuk mengurangi ancaman yang disertakan dengan mengenkripsi data.
• Pelajari apa yang Microsoft lakukan untuk memastikan integritas dan keamanan platform host yang melintasi dalam proses pembangunan, integrasi perangkat keras dan firmware, pengoperasian, dan perbaikan alur kerja.