Dubbele versleuteling

Dubbele encryptie gebruikt twee of meer onafhankelijke lagen van encryptie om te beschermen tegen compromitteren van een bepaalde laag van encryptie. Twee lagen encryptie beperken de bedreigingen die gepaard gaan met het versleutelen van data. Voorbeeld:

• Configuratiefouten bij gegevensversleuteling.
• Implementatiefouten bij het encryptie-algoritme.
• Kompromittering van één enkele encryptiesleutel.

Azure biedt dubbele versleuteling voor data-at-rest en data in transit.

Gegevens in rust

Microsoft gebruikt twee lagen encryptie voor data in rust:

• Versleuteling in rust door gebruik te maken van door klanten beheerde sleutels. U geeft uw eigen sleutel op voor het versleutelen van gegevens in rust. Je kunt je eigen sleutels meenemen naar je Key Vault (BYOK - neem je eigen sleutel mee), of je kunt nieuwe sleutels genereren in Azure Key Vault om de gewenste bronnen te versleutelen.
• Infrastructuurversleuteling door gebruik te maken van door het platform beheerde sleutels. Standaard versleutelt Azure data in rust automatisch door platformbeheerde encryptiesleutels te gebruiken.

Deze twee lagen gebruiken aparte sleutels van onafhankelijke sleutelhiërarchieën. Verschillende operators beheren ze: jij beheert de service-level key terwijl Microsoft de infrastructuur-level key beheert.

Gegevens tijdens overdracht

Microsoft gebruikt twee lagen van encryptie voor data in transit:

• Transit-encryptie door gebruik te maken van Transport Layer Security (TLS) 1.2 om data te beschermen wanneer deze tussen clouddiensten en jou reist. Al het verkeer dat een datacenter verlaat, wordt tijdens overdracht versleuteld, zelfs als de bestemming van het verkeer een andere domeincontroller in dezelfde regio is. TLS 1.2 is het standaard beveiligingsprotocol. TLS biedt sterke verificatie, privacy en integriteit van berichten (waardoor manipulatie, onderschepping en vervalsing van berichten kunnen worden gedetecteerd), interoperabiliteit, flexibiliteit van algoritmen en gebruiksgemak.
• Extra laag van encryptie op de infrastructuurlaag. Telkens wanneer Azure-klantverkeer zich verplaatst tussen datacenters buiten fysieke grenzen die niet door Microsoft- of Microsoft-vertegenwoordigers worden gecontroleerd, wordt een datalinklaag-encryptiemethode toegepast die gebruikmaakt van de IEEE 802.1AE MAC Security Standards (ook bekend als MACsec) van punt tot punt over de onderliggende netwerkhardware. De pakketten worden op de apparaten versleuteld en ontsleuteld voordat ze worden verzonden, waardoor fysieke man-in-the-middle-, afluister- of tapaanvallen worden voorkomen. Omdat deze technologie is geïntegreerd op de netwerkhardware zelf, biedt deze regelsnelheidversleuteling op de netwerkhardware zonder meetbare toename van de koppelingslatentie. Deze MACsec-encryptie staat standaard aan voor al het Azure-verkeer dat binnen een regio of tussen regio's reist, en je hoeft geen actie te ondernemen om het in te schakelen.

Volgende stappen

Leer hoe Azure encryptie gebruikt.