Criptografar e descriptografar dados

Neste documento, descrevemos como criptografar e descriptografar dados usando chaves do sistema de gerenciamento de chaves (KMS, na sigla em inglês) com a CLI gdcloud.

Este documento é destinado a públicos-alvo do grupo de operadores de aplicativos que precisam realizar operações criptográficas em projetos do GDC. Para mais informações, consulte Públicos-alvo da documentação do GDC com isolamento físico.

Antes de começar

Antes de criptografar ou descriptografar dados, você precisa ter as permissões necessárias e preparar o ambiente.

Solicitar papéis do IAM

Para criptografar e descriptografar dados, entre em contato com o admin. da organização do IAM para solicitar o papel de desenvolvedor do KMS (kms-developer) no namespace do projeto.

Preparar o ambiente

Criptografar dados

Para criptografar dados, use o comando gdcloud kms keys encrypt. Esse comando criptografa um determinado arquivo de texto simples usando a chave AEAD e o grava em um arquivo de texto criptografado nomeado.

  • Para criptografar dados, transmita o nome da chave e o seguinte:

    gdcloud kms keys encrypt namespaces/NAMESPACE/aeadKeys/KEY_NAME \
  --plaintext-file=PLAINTEXT_PATH \
  --additional-authenticated-data-file=ADDITIONAL_AUTHENTICATED_DATA_FILE \
  --ciphertext-file=CIPHERTEXT_PATH

    Substitua as seguintes variáveis:

    • NAMESPACE: o namespace do projeto, por exemplo: kms-test1.
    • KEY_NAME: o nome da chave usada para criptografar o texto simples, por exemplo: key-1.
    • PLAINTEXT_PATH: o caminho para o arquivo que contém o texto simples a ser criptografado.
    • ADDITIONAL_AUTHENTICATED_DATA_FILE: um arquivo opcional que contém dados autenticados adicionais (AAD, na sigla em inglês). Os AADs são usados para verificações de integridade e protegem seus dados contra um ataque de deputado confuso. Os dados autenticados adicionais (AAD, na sigla em inglês) e o texto simples têm um limite de tamanho de 64 KB cada.
    • CIPHERTEXT_PATH: o caminho para o arquivo que contém o texto simples criptografado.

    Depois de executar o comando, você verá um arquivo especificado na flag --ciphertext-file que contém o conteúdo criptografado do arquivo de texto simples.

Descriptografar dados

Para descriptografar dados, use o comando gdcloud kms keys decrypt. Esse comando descriptografa um determinado arquivo de texto criptografado usando a chave AEAD e o grava em um arquivo de texto simples nomeado.

  • Para descriptografar o texto criptografado, transmita o nome da chave e o seguinte:

    gdcloud kms keys decrypt namespaces/NAMESPACE/aeadKeys/KEY_NAME \
 --ciphertext-file=CIPHERTEXT_PATH \
 --additional-authenticated-data-file=ADDITIONAL_AUTHENTICATED_DATA_FILE \
 --plaintext-file=PLAINTEXT_PATH

    Substitua as seguintes variáveis:

    • NAMESPACE: o namespace do projeto.
    • KEY_NAME: o nome da chave usada para criptografar o texto simples.
    • CIPHERTEXT_PATH: o caminho do arquivo que você quer descriptografar.
    • ADDITIONAL_AUTHENTICATED_DATA_FILE: um arquivo opcional que contém dados autenticados adicionais (AAD, na sigla em inglês). Os AADs são usados para verificações de integridade e protegem seus dados contra um ataque de deputado confuso. Os dados autenticados adicionais (AAD, na sigla em inglês) e o texto simples têm um limite de tamanho de 64 KB cada.
    • PLAINTEXT_PATH: o caminho para o arquivo que contém o texto simples descriptografado.

    Depois de executar o comando, você verá um arquivo especificado na flag --plaintext-file que contém os dados descriptografados.