Model enkripsi data

Untuk memahami bagaimana penyedia sumber daya Azure menerapkan enkripsi saat tidak aktif, Anda perlu memahami model enkripsi yang berbeda dan kelebihan dan kekurangannya. Untuk memastikan bahasa umum dan taksonomi, penyedia sumber daya Azure berbagi definisi ini.

Azure secara otomatis mengenkripsi data saat tidak digunakan dengan menggunakan kunci yang dikelola oleh platform Azure. Anda dapat secara opsional memilih pendekatan manajemen kunci lainnya berdasarkan persyaratan keamanan dan kepatuhan Anda. Enkripsi sisi server mencakup tiga skenario:

• Enkripsi sisi server dengan menggunakan kunci yang dikelola platform (default).

  • Penyedia sumber daya Azure melakukan operasi enkripsi dan dekripsi.
  • Microsoft mengelola kunci secara otomatis.
  • Diaktifkan secara default tanpa konfigurasi yang diperlukan.
  • Fungsionalitas cloud penuh.

• Enkripsi sisi server dengan menggunakan kunci yang dikelola pelanggan di Azure Key Vault (opsional).

  • Penyedia sumber daya Azure melakukan operasi enkripsi dan dekripsi.
  • Anda mengontrol kunci melalui Azure Key Vault.
  • Memerlukan konfigurasi dan manajemen pelanggan.
  • Fungsionalitas cloud penuh.

• Enkripsi sisi server dengan menggunakan kunci yang dikelola pelanggan pada perangkat keras yang dikendalikan pelanggan (opsi lanjutan).

  • Penyedia sumber daya Azure melakukan operasi enkripsi dan dekripsi.
  • Anda mengontrol kunci pada perangkat keras yang dikendalikan pelanggan.
  • Konfigurasi kompleks dan dukungan layanan Azure terbatas.
  • Fungsionalitas cloud penuh.

Model enkripsi sisi server mengacu pada enkripsi yang dilakukan layanan Azure. Dalam model itu, penyedia sumber daya melakukan operasi enkripsi dan dekripsi. Misalnya, Azure Storage mungkin menerima data dalam operasi teks biasa dan melakukan enkripsi dan dekripsi secara internal. Penyedia sumber daya mungkin menggunakan kunci enkripsi yang dikelola Microsoft atau pelanggan, tergantung pada konfigurasi Anda.

Masing-masing model enkripsi saat istirahat sisi server memiliki karakteristik manajemen kunci yang khas. Karakteristik ini mencakup di mana dan bagaimana Anda membuat dan menyimpan kunci enkripsi, serta model akses dan prosedur rotasi kunci.

Untuk enkripsi sisi klien, pertimbangkan:

• Layanan Azure tidak dapat melihat data yang didekripsi.
• Pelanggan mengelola dan menyimpan kunci secara lokal (atau di toko aman lainnya). Layanan Azure tidak memiliki akses ke kunci.
• Mengurangi fungsionalitas cloud.

Model enkripsi yang didukung di Azure dibagi menjadi dua grup utama: enkripsi klien dan enkripsi sisi server. Terlepas dari model enkripsi saat istirahat yang Anda gunakan, layanan Azure selalu merekomendasikan penggunaan transportasi aman seperti TLS atau HTTPS. Oleh karena itu, tangani enkripsi saat transmisi melalui protokol transport. Ini seharusnya tidak menjadi faktor utama dalam menentukan model enkripsi saat tidak aktif mana yang akan digunakan.

Model enkripsi klien

Model enkripsi klien mengacu pada enkripsi yang dilakukan layanan atau aplikasi pemanggil di luar penyedia sumber daya atau Azure. Aplikasi layanan di Azure atau aplikasi yang berjalan di pusat data pelanggan dapat melakukan enkripsi. Dalam kedua kasus tersebut, saat Anda menggunakan model enkripsi ini, penyedia sumber daya Azure menerima blob data terenkripsi tanpa kemampuan untuk mendekripsi data dengan cara apa pun atau mengakses kunci enkripsi. Dalam model ini, layanan panggilan atau aplikasi menangani manajemen kunci dan membuatnya tidak terlihat oleh layanan Azure.

Enkripsi sisi server dengan menggunakan kunci yang dikelola platform (default)

Bagi sebagian besar organisasi, persyaratan penting adalah memastikan bahwa data dienkripsi kapan pun tidak aktif. Enkripsi sisi server dengan menggunakan kunci yang dikelola platform (sebelumnya disebut kunci yang dikelola layanan) memenuhi persyaratan ini dengan menyediakan enkripsi otomatis secara default. Pendekatan ini memungkinkan enkripsi saat tidak aktif tanpa mengharuskan Anda mengonfigurasi atau mengelola kunci enkripsi. Microsoft menangani tugas manajemen kunci seperti penerbitan kunci, rotasi, dan pencadangan.

Sebagian besar layanan Azure menerapkan model ini sebagai perilaku default, secara otomatis mengenkripsi data saat tidak aktif dengan menggunakan kunci yang dikelola platform tanpa memerlukan tindakan pelanggan apa pun. Penyedia sumber daya Azure membuat kunci, menempatkannya di penyimpanan yang aman, dan mengambilnya saat diperlukan. Layanan ini memiliki akses penuh ke kunci dan mempertahankan kontrol penuh atas manajemen siklus hidup kredensial. Kontrol ini memberikan perlindungan enkripsi yang kuat tanpa overhead manajemen.

Enkripsi sisi server dengan menggunakan kunci yang dikelola platform mengatasi kebutuhan akan enkripsi saat tidak aktif tanpa overhead. Azure mengaktifkan enkripsi ini secara default di seluruh layanan Azure, memberikan perlindungan data otomatis tanpa memerlukan konfigurasi atau manajemen apa pun. Anda mendapat manfaat dari perlindungan enkripsi yang kuat segera setelah menyimpan data di layanan Azure, tanpa langkah-langkah tambahan, biaya, atau manajemen berkelanjutan yang diperlukan.

Enkripsi sisi server dengan menggunakan kunci yang dikelola platform berarti layanan memiliki akses penuh untuk menyimpan dan mengelola kunci. Meskipun beberapa organisasi mungkin ingin mengelola kunci karena mereka mengharapkan keamanan yang lebih besar, pertimbangkan biaya dan risiko yang terkait dengan solusi penyimpanan kunci kustom saat mengevaluasi model ini. Dalam banyak kasus, organisasi mungkin menentukan bahwa batasan sumber daya atau risiko solusi lokal lebih besar dari risiko manajemen cloud enkripsi saat kunci tidak aktif. Namun, model ini mungkin tidak cukup bagi organisasi yang memiliki persyaratan untuk mengontrol pembuatan atau siklus hidup kunci enkripsi atau memiliki personel yang berbeda mengelola kunci enkripsi layanan daripada yang mengelola layanan (pemisahan manajemen kunci dari keseluruhan model manajemen untuk layanan).

Akses dengan kunci

Saat Anda menggunakan enkripsi sisi server dengan kunci yang dikelola platform, layanan menangani pembuatan kunci, penyimpanan, dan akses layanan. Biasanya, penyedia sumber daya Azure dasar menyimpan kunci enkripsi data di penyimpanan yang dekat dengan data dan dapat diakses dengan cepat, sementara kunci enkripsi kunci berada di penyimpanan internal yang aman.

Kelebihan

• Penyiapan sederhana.
• Microsoft mengelola rotasi kunci, pencadangan, dan redundansi.
• Anda tidak dikenakan biaya atau risiko yang terkait dengan penerapan skema manajemen kunci kustom.

Pertimbangan

• Tidak ada kontrol atas kunci enkripsi (spesifikasi kunci, siklus hidup, pencabutan, dan sebagainya). Opsi ini cocok untuk sebagian besar kasus penggunaan tetapi mungkin tidak memenuhi persyaratan kepatuhan khusus.
• Tidak ada kemampuan untuk memisahkan manajemen kunci dari model manajemen keseluruhan untuk layanan. Organisasi yang memerlukan pemisahan tugas mungkin memerlukan kunci yang dikelola pelanggan.

Enkripsi sisi server dengan menggunakan kunci yang dikelola pelanggan di Azure Key Vault dan Azure Key Vault Managed HSM (opsional)

Untuk skenario di mana organisasi memiliki persyaratan khusus untuk mengontrol kunci enkripsi mereka di luar enkripsi yang dikelola platform default, Anda dapat secara opsional memilih enkripsi sisi server dengan menggunakan kunci yang dikelola pelanggan di Key Vault atau Azure Key Vault Managed HSM. Pendekatan ini dibangun di atas enkripsi default saat tidak aktif, memungkinkan Anda menggunakan kunci Anda sendiri sementara Azure terus menangani operasi enkripsi dan dekripsi.

Beberapa layanan mungkin hanya menyimpan kunci enkripsi kunci akar (KEK) di Azure Key Vault dan menyimpan kunci enkripsi data terenkripsi (DEK) di lokasi internal yang lebih dekat ke data. Dalam skenario ini, Anda dapat menggunakan model bawa kunci Anda sendiri (BYOK) untuk mengimpor kunci ke Key Vault atau menghasilkan kunci baru di Key Vault, lalu menggunakannya untuk mengenkripsi sumber daya yang diinginkan. Sementara penyedia sumber daya melakukan operasi enkripsi dan dekripsi, penyedia sumber daya menggunakan KEK yang dikonfigurasi sebagai kunci akar untuk semua operasi enkripsi.

Kehilangan kunci enkripsi utama berarti kehilangan data. Untuk alasan ini, jangan hapus kunci. Selalu cadangkan kunci saat Anda membuat atau memutarnya. Saat KEK dirotasi, layanan membungkus ulang kunci enkripsi data dengan versi kunci baru - data dasarnya tidak dienkripsi ulang. Versi kunci lama dan baru harus tetap diaktifkan hingga semua kunci enkripsi data dibungkus dengan versi kunci baru. Untuk melindungi dari penghapusan kriptografi yang tidak disengaja atau berbahaya, Perlindungan penghapusan sementara dan pembersihan harus diaktifkan di brankas mana pun yang menyimpan kunci enkripsi kunci. Alih-alih menghapus kunci, atur status diaktifkan menjadi false pada kunci enkripsi utama. Gunakan kontrol akses untuk mencabut akses ke setiap pengguna atau layanan di Azure Key Vault atau HSM Terkelola.

Warning

Jika Anda mencurigai kunci disusupi, jangan segera menonaktifkan atau menghapusnya. Menonaktifkan atau menghapus kunci akan menyebabkan semua layanan yang bergantung padanya menjadi offline, tetapi tidak menjadikan salinan kunci mana pun yang dicadangkan dan dipulihkan ke brankas lain tidak valid. Salinan tersebut tetap berfungsi penuh. Sebagai gantinya, putar ke kunci baru dan migrasikan semua layanan dependen sebelum menonaktifkan kunci yang disusupi. Untuk prosedur respons insiden lengkap, lihat Pertimbangan keamanan cadangan dan Respons penyusupan kunci.

Untuk skenario kunci yang dikelola pelanggan, gunakan tingkat Azure Key Vault Premium (didukung HSM) sebagai minimum untuk persyaratan kepatuhan yang mengamanatkan kunci yang dilindungi HSM. Gunakan Azure Key Vault Managed HSM untuk beban kerja yang memerlukan kedaulatan kunci atau kapasitas HSM khusus. Untuk organisasi yang memiliki persyaratan peraturan atau kontraktual yang mengharuskan material kunci secara fisik berada di luar infrastruktur Microsoft, Azure Key Vault Managed HSM juga mendukung manajemen kunci eksternal (pratinjau), yang menyimpan KEK dalam HSM yang dioperasikan pelanggan dan sepenuhnya berada di luar Azure.

Catatan

Untuk daftar layanan yang mendukung kunci yang dikelola pelanggan di Azure Key Vault dan Azure Key Vault Managed HSM, lihat Layanan yang mendukung CMK di Azure Key Vault dan Azure Key Vault Managed HSM.

Akses dengan kunci

Dalam model enkripsi sisi server yang menggunakan kunci yang dikelola pelanggan di Azure Key Vault, layanan mengakses kunci untuk mengenkripsi dan mendekripsi sesuai kebutuhan. Anda membuat enkripsi saat tidak aktif dapat diakses oleh layanan melalui kebijakan kontrol akses. Kebijakan ini memberikan akses identitas layanan untuk menerima kunci. Anda dapat mengonfigurasi layanan Azure yang berjalan atas nama langganan terkait dengan identitas dalam langganan tersebut. Layanan ini dapat melakukan autentikasi Microsoft Entra dan menerima token autentikasi yang mengidentifikasi dirinya sebagai layanan yang bertindak atas nama langganan. Layanan kemudian menyajikan token ke Key Vault untuk mendapatkan kunci yang dapat diaksesnya.

Untuk operasi yang menggunakan kunci enkripsi, Anda dapat memberikan akses identitas layanan ke salah satu operasi berikut: decrypt, , , encryptunwrapKeywrapKeyverifysigngetlistupdatecreateimportdeletebackuprestore

Untuk mendapatkan kunci untuk digunakan dalam mengenkripsi atau mendekripsi data saat tidak aktif, identitas layanan yang dijalankan oleh instans layanan Resource Manager harus dimiliki UnwrapKey (untuk mendapatkan kunci untuk dekripsi) dan WrapKey (untuk menyisipkan kunci ke Key Vault saat membuat kunci baru).

Catatan

Untuk informasi selengkapnya tentang otorisasi Key Vault, lihat Mengamankan key vault Anda.

Kelebihan

• Kontrol penuh atas tombol yang digunakan. Kunci enkripsi dikelola di Key Vault Anda di bawah kendali Anda.
• Anda dapat mengenkripsi beberapa layanan dengan menggunakan satu kunci root.
• Anda dapat memisahkan manajemen kunci dari keseluruhan model manajemen untuk layanan.
• Anda dapat menentukan layanan dan lokasi utama di seluruh wilayah.

Kerugian

• Anda memiliki tanggung jawab penuh untuk manajemen akses kunci.
• Anda memiliki tanggung jawab penuh untuk manajemen siklus hidup utama.
• Overhead tambahan untuk penyiapan dan konfigurasi.

Enkripsi sisi server dengan menggunakan kunci yang dikelola pelanggan dalam perangkat keras yang dikendalikan pelanggan (opsi khusus)

Beberapa layanan Azure mengaktifkan model manajemen kunci Host Your Own Key (HYOK) untuk organisasi dengan persyaratan keamanan khusus. Mode manajemen ini berguna dalam skenario yang sangat diatur yang memerlukan enkripsi data saat tidak aktif dan manajemen kunci dalam repositori berpemilik yang sepenuhnya di luar kendali Microsoft. Ini melampaui enkripsi yang dikelola platform default dan kunci yang dikelola pelanggan opsional di Azure Key Vault.

Dalam model ini, layanan harus menggunakan kunci dari situs eksternal untuk mendekripsi DEK. Jaminan performa dan ketersediaan terpengaruh, dan konfigurasi secara signifikan lebih kompleks. Selain itu, karena layanan tidak memiliki akses ke DEK selama operasi enkripsi dan dekripsi, jaminan keamanan keseluruhan model ini mirip dengan saat kunci dikelola pelanggan di Azure Key Vault. Akibatnya, model ini tidak sesuai untuk sebagian besar organisasi kecuali mereka memiliki persyaratan peraturan atau keamanan yang sangat spesifik yang tidak dapat dipenuhi dengan kunci yang dikelola platform atau kunci yang dikelola pelanggan di Azure Key Vault. Karena keterbatasan ini, sebagian besar layanan Azure tidak mendukung enkripsi sisi server dengan menggunakan kunci yang dikelola pelanggan dalam perangkat keras yang dikendalikan pelanggan. Salah satu dari dua kunci dalam Enkripsi Kunci Ganda mengikuti model ini.

Akses dengan kunci

Saat Anda menggunakan enkripsi sisi server dengan kunci yang dikelola pelanggan di perangkat keras yang dikendalikan pelanggan, Anda menyimpan kunci enkripsi kunci pada sistem yang Anda konfigurasikan. Layanan Azure yang mendukung model ini menyediakan cara untuk membuat koneksi aman ke penyimpanan kunci yang disediakan pelanggan.

Kelebihan

• Anda memiliki kontrol penuh atas kunci root karena toko yang disediakan pelanggan mengelola kunci enkripsi.
• Anda dapat mengenkripsi beberapa layanan dengan menggunakan satu kunci root.
• Anda dapat memisahkan manajemen kunci dari keseluruhan model manajemen untuk layanan.
• Anda dapat menentukan layanan dan lokasi utama di seluruh wilayah.

Kerugian

• Anda memiliki tanggung jawab penuh atas penyimpanan utama, keamanan, performa, dan ketersediaan.
• Anda memiliki tanggung jawab penuh untuk manajemen akses kunci.
• Anda memiliki tanggung jawab penuh untuk manajemen siklus hidup utama.
• Anda dikenakan biaya pengaturan, konfigurasi, dan pemeliharaan yang berkelanjutan yang signifikan.
• Model ini meningkatkan ketergantungan pada ketersediaan jaringan antara pusat data pelanggan dan pusat data Azure.

Konten terkait

• Layanan yang mendukung CMK di Azure Key Vault dan Azure Key Vault Managed HSM
• Cara enkripsi digunakan di Azure
• Enkripsi ganda