Cifrado de cliente para blobs

La biblioteca cliente de Azure Blob Storage para .NET permite tanto el cifrado de datos dentro de las aplicaciones de cliente antes de cargarlos en Azure Storage, como el descifrado de datos mientras estos se descargan al cliente. Asimismo, la biblioteca también admite la integración con Azure Key Vault para la administración de claves de la cuenta de almacenamiento.

Para ver un tutorial paso a paso que le guíe por el proceso de cifrado de blobs mediante el cifrado de cliente y Azure Key Vault, consulte Cifrado y descifrado de blobs en Microsoft Azure Storage con Azure Key Vault.

Acerca del cifrado de cliente

La biblioteca cliente de Azure Blob Storage usa AES para cifrar los datos del usuario. Hay dos versiones del cifrado de cliente disponibles en la biblioteca cliente:

• La versión 2 usa el modo Galois/contador (GCM) con AES.
• La versión 1 usa el modo Cipher Block Chaining (CBC) con AES.

Mitigación de la vulnerabilidad de seguridad en las aplicaciones

Debido a una vulnerabilidad de seguridad detectada en la implementación de la biblioteca cliente de Blob Storage del modo CBC, Microsoft recomienda realizar una o varias de las siguientes acciones inmediatamente:

• Considere la posibilidad de usar características de cifrado del servicio en lugar del cifrado de cliente. Para más información sobre las características de cifrado del servicio, consulte Cifrado de Azure Storage para datos en reposo.

• Si necesita usar el cifrado de cliente, migre las aplicaciones de la versión 1 del cifrado de cliente a la versión 2 del cifrado de cliente.

En la tabla siguiente se resumen los pasos que deberá seguir si decide migrar las aplicaciones a la versión 2 del cifrado de cliente:

Además, Microsoft recomienda seguir los pasos siguientes para ayudar a proteger los datos:

• Configure las cuentas de almacenamiento para usar puntos de conexión privados con el fin de proteger todo el tráfico entre la red virtual (VNet) y la cuenta de almacenamiento a través de un vínculo privado. Para obtener más información, consulte Uso de puntos de conexión privados para Azure Storage.
• Limite el acceso a la red solo para redes específicas.

Matriz de compatibilidad del SDK para el cifrado de cliente

En la tabla siguiente se muestra qué versiones de las bibliotecas cliente para .NET, Java y Python admiten las diferentes versiones del cifrado de cliente:

Si la aplicación usa el cifrado de cliente con una versión anterior de la biblioteca cliente de .NET, Java o Python, primero debe actualizar el código a una versión que admita la versión 2 del cifrado de cliente. A continuación, debe descifrar y volver a cifrar los datos con la versión 2 del cifrado de cliente. Si es necesario, puede usar una versión de la biblioteca cliente que admita la versión 2 del cifrado de cliente en paralelo con una versión anterior de la biblioteca cliente mientras migra el código. Para ver ejemplos de código, consulte la sección sobre el ejemplo de cifrado y descifrado de un blob con la versión 2 del cifrado de cliente.

Funcionamiento del cifrado de cliente

Las bibliotecas cliente de Azure Blob Storage usan el cifrado de sobres para cifrar y descifrar los datos en el lado cliente. El cifrado de sobres cifra una clave con una o varias claves adicionales.

Las bibliotecas cliente de Blob Storage se basan en Azure Key Vault para proteger las claves que se usan para el cifrado de cliente. Para más información sobre Azure Key Vault, vea ¿Qué es Azure Key Vault?.

Cifrado y descifrado a través de la técnica de sobres

El cifrado funciona de la siguiente manera a través de la técnica de sobres:

1. La biblioteca cliente de Azure Storage genera una clave de cifrado de contenido (CEK), que es una clave simétrica de un solo uso.

2. Los datos de usuario se cifran mediante la CEK.

3. Se encapsula la CEK (cifrada) con la clave de cifrado de clave (KEK). La KEK se identifica mediante un identificador de clave y puede ser un par de clave asimétrico o una clave simétrica. Puede administrar la KEK de forma local o almacenarla en una instancia de Azure Key Vault.

   La propia biblioteca cliente de Azure Storage no tiene nunca acceso a la KEK. La biblioteca invoca el algoritmo de encapsulado de clave proporcionado por Key Vault. Los usuarios pueden elegir utilizar proveedores personalizados para el ajuste y desajuste clave si lo desean.

4. A continuación, se cargan los datos cifrados en Azure Blob Storage. La clave encapsulada junto con algunos metadatos de cifrado adicionales se almacena como metadatos en el blob.

El descifrado funciona de la siguiente manera a través de la técnica de sobres:

1. La biblioteca cliente de Azure Storage asume que el usuario está administrando la KEK, ya sea localmente o en una instancia de Azure Key Vault. El usuario no necesita conocer la clave específica que se usó para el cifrado. En su lugar, se puede configurar y usar una resolución de clave que resuelva distintos identificadores de clave para las claves.
2. La biblioteca cliente descarga los datos cifrados junto con cualquier material de cifrado que esté almacenado en Azure Storage.
3. A continuación, la CEK encapsulada se desencapsula (descifra) mediante la KEK. La biblioteca cliente no tiene acceso a la KEK durante este proceso, sino que solo invoca el algoritmo de desencapsulado de Azure Key Vault u otro almacén de claves.
4. La biblioteca cliente usa la CEK para descifrar los datos de usuario cifrados.

Cifrado y descifrado en la carga o descarga de blobs

La biblioteca cliente de Blob Storage solo admite el cifrado de blobs completos en la carga. En el caso de las descargas, se admiten tanto las descargas de intervalo como las completas.

Durante el cifrado, la biblioteca cliente genera un vector de inicialización (IV) aleatorio de 16 bytes y una CEK aleatoria de 32 bytes, y realiza el cifrado de sobres de los datos de blob con esta información. Posteriormente, la CEK encapsulada y algunos metadatos de cifrado adicionales se almacenan como metadatos de blob junto con el objeto blob cifrado.

Cuando un cliente descarga un blob completo, la CEK encapsulada se desencapsula y se utiliza junto con el vector de inicialización para devolver los datos descifrados al cliente.

Descargar un intervalo arbitrario en el blob cifrado implica ajustar el intervalo proporcionado por los usuarios para obtener una pequeña cantidad de datos adicionales que puedan usarse para descifrar correctamente el intervalo solicitado.

Todos los tipos de blobs (blobs en bloques, blobs de anexión) se pueden cifrar y descifrar usando este esquema.

Ejemplo: Cifrado y descifrado de un blob con la versión 2 del cifrado de cliente

En el ejemplo de código de esta sección se muestra cómo usar la versión 2 del cifrado de cliente para cifrar y descifrar un blob.

// Your key and key resolver instances, either through Azure Key Vault SDK or an external implementation.
IKeyEncryptionKey key;
IKeyEncryptionKeyResolver keyResolver;

// Create the encryption options to be used for upload and download.
ClientSideEncryptionOptions encryptionOptions = new ClientSideEncryptionOptions(ClientSideEncryptionVersion.V2_0)
{
   KeyEncryptionKey = key,
   KeyResolver = keyResolver,
   // String value that the client library will use when calling IKeyEncryptionKey.WrapKey()
   KeyWrapAlgorithm = "some algorithm name"
};

// Set the encryption options on the client options.
BlobClientOptions options = new SpecializedBlobClientOptions() { ClientSideEncryption = encryptionOptions };

// Create blob client with client-side encryption enabled.
// Client-side encryption options are passed from service clients to container clients, 
// and from container clients to blob clients.
// Attempting to construct a BlockBlobClient, PageBlobClient, or AppendBlobClient from a BlobContainerClient
// with client-side encryption options present will throw, as this functionality is only supported with BlobClient.
BlobClient blob = new BlobServiceClient(connectionString, options).GetBlobContainerClient("my-container").GetBlobClient("myBlob");

// Upload the encrypted contents to the blob.
blob.Upload(stream);

// Download and decrypt the encrypted contents from the blob.
MemoryStream outputStream = new MemoryStream();
blob.DownloadTo(outputStream);

using Azure.Storage.Blobs.Specialized;

// An existing BlobClient instance and encryption options.
BlobClient plaintextBlob;
ClientSideEncryptionOptions encryptionOptions;

// Get a copy of the blob that uses client-side encryption.
BlobClient clientSideEncryptionBlob = plaintextBlob.WithClientSideEncryptionOptions(encryptionOptions);

blob_client = blob_service_client.get_blob_client(container=container_name, blob=blob_name)
    blob_client.require_encryption = True
    blob_client.key_encryption_key = kek
    blob_client.encryption_version = ‘2.0’  # Use Version 2.0!

    with open("decryptedcontentfile.txt", "rb") as stream:
        blob_client.upload_blob(stream, overwrite=OVERWRITE_EXISTING)

Nuevo cifrado de datos previamente cifrados con la versión 2 del cifrado de cliente

Los datos cifrados anteriormente con la versión 1 del cifrado de cliente se deben descifrar y, a continuación, volver a cifrar con la versión 2 del cifrado de cliente para mitigar la vulnerabilidad de seguridad. El descifrado requiere la descarga de los datos y un nuevo cifrado requiere una nueva carga de estos en Blob Storage.

Rendimiento y cifrado de cliente

Tenga en cuenta que el cifrado de sus resultados de datos de almacenamiento da lugar a la sobrecarga de rendimiento adicional. Cuando se usa el cifrado de cliente en la aplicación, la biblioteca cliente debe generar de forma segura la CEK y el vector de inicialización, cifrar el propio contenido, comunicarse con el almacén de claves elegido para el encapsulado de claves y dar formato y cargar metadatos adicionales. Esta sobrecarga varía según la cantidad de datos que se cifran. Se recomienda que los clientes prueben siempre sus aplicaciones para obtener un rendimiento durante el desarrollo.

Pasos siguientes

• Actualización de Azure Storage del cifrado del lado cliente en el SDK para abordar la vulnerabilidad de seguridad
• Cifrado de Azure Storage para datos en reposo
• Documentación de Azure Key Vault