Versleuteling aan clientzijde voor blobs

De Azure Blob Storage-clientbibliotheek voor .NET ondersteunt het versleutelen van gegevens in clienttoepassingen voordat ze worden geüpload naar Azure Storage en het ontsleutelen van gegevens tijdens het downloaden naar de client. De bibliotheek ondersteunt ook integratie met Azure Key Vault voor sleutelbeheer van opslagaccounts.

Zie Blobs versleutelen en ontsleutelen met Behulp van Azure Key Vault voor een stapsgewijze zelfstudie die u begeleidt bij het versleutelen van blo Microsoft Azure Storage bs met behulp van versleuteling aan de clientzijde en Azure Key Vault.

Over versleuteling aan de clientzijde

De Azure Blob Storage-clientbibliotheek maakt gebruik van AES om gebruikersgegevens te versleutelen. Er zijn twee versies van versleuteling aan de clientzijde beschikbaar in de clientbibliotheek:

• Versie 2 maakt gebruik van de modus Galois/Counter Mode (GCM) met AES.
• Versie 1 maakt gebruik van de CBC-modus (Cipher Block Chaining) met AES.

Het beveiligingsprobleem in uw toepassingen beperken

Vanwege een beveiligingsprobleem dat is gedetecteerd in de implementatie van de CBC-modus van de Blob Storage-clientbibliotheek, raadt Microsoft u aan om onmiddellijk een of meer van de volgende acties uit te voeren:

• Overweeg het gebruik van versleutelingsfuncties aan de servicezijde in plaats van versleuteling aan de clientzijde. Zie Azure Storage-versleuteling voor data-at-rest voor meer informatie over versleutelingsfuncties aan de servicezijde.

• Als u versleuteling aan de clientzijde wilt gebruiken, migreert u uw toepassingen van versleuteling aan de clientzijde v1 naar versleuteling aan de clientzijde v2.

De volgende tabel bevat een overzicht van de stappen die u moet uitvoeren als u ervoor kiest om uw toepassingen te migreren naar versleuteling aan de clientzijde v2:

Daarnaast raadt Microsoft u aan de volgende stappen uit te voeren om uw gegevens te beveiligen:

• Configureer uw opslagaccounts voor het gebruik van privé-eindpunten om al het verkeer tussen uw virtuele netwerk (VNet) en uw opslagaccount via een privékoppeling te beveiligen. Zie Privé-eindpunten gebruiken voor Azure Storage voor meer informatie.
• Beperk de netwerktoegang tot alleen specifieke netwerken.

SDK-ondersteuningsmatrix voor versleuteling aan clientzijde

In de volgende tabel ziet u welke versies van de clientbibliotheken voor .NET, Java en Python welke versies van versleuteling aan de clientzijde ondersteunen:

Als uw toepassing versleuteling aan de clientzijde gebruikt met een eerdere versie van de .NET-, Java- of Python-clientbibliotheek, moet u eerst uw code upgraden naar een versie die versleuteling aan clientzijde v2 ondersteunt. Vervolgens moet u uw gegevens ontsleutelen en opnieuw versleutelen met versleuteling aan de clientzijde v2. Indien nodig kunt u een versie van de clientbibliotheek gebruiken die versleuteling aan de clientzijde v2 naast een eerdere versie van de clientbibliotheek ondersteunt terwijl u uw code migreert. Zie Voorbeeld: een blob versleutelen en ontsleutelen met versleuteling aan de clientzijde v2 voor codevoorbeelden.

Hoe versleuteling aan clientzijde werkt

De Azure Blob Storage clientbibliotheken gebruiken envelopversleuteling om uw gegevens aan de clientzijde te versleutelen en te ontsleutelen. Envelopversleuteling versleutelt een sleutel met een of meer extra sleutels.

De Blob Storage-clientbibliotheken zijn afhankelijk van Azure Key Vault om de sleutels te beveiligen die worden gebruikt voor versleuteling aan de clientzijde. Zie Wat is Azure Key Vault? voor meer informatie over Azure Key Vault.

Versleuteling en ontsleuteling via de enveloptechniek

Versleuteling via de enveloptechniek werkt als volgt:

1. De Azure Storage-clientbibliotheek genereert een inhoudsversleutelingssleutel (CEK), een symmetrische sleutel voor eenmalig gebruik.

2. Gebruikersgegevens worden versleuteld met behulp van de CEK.

3. De CEK wordt vervolgens verpakt (versleuteld) met behulp van de versleutelingssleutel voor sleutel (KEK). De KEK wordt geïdentificeerd door een sleutel-id en kan een asymmetrisch sleutelpaar of een symmetrische sleutel zijn. U kunt de KEK lokaal beheren of opslaan in een Azure-Key Vault.

   De Azure Storage-clientbibliotheek zelf heeft nooit toegang tot KEK. De bibliotheek roept het sleutelterugloop-algoritme aan dat wordt geleverd door Key Vault. Gebruikers kunnen desgewenst aangepaste providers gebruiken voor sleutelterugloop/uitpakken.

4. De versleutelde gegevens worden vervolgens geüpload naar Azure Blob Storage. De verpakte sleutel wordt samen met enkele extra versleutelingsmetagegevens opgeslagen als metagegevens op de blob.

Ontsleuteling via de enveloptechniek werkt als volgt:

1. In de Azure Storage-clientbibliotheek wordt ervan uitgegaan dat de gebruiker de KEK lokaal of in een Azure-Key Vault beheert. De gebruiker hoeft niet te weten welke specifieke sleutel is gebruikt voor versleuteling. In plaats daarvan kan een sleutel-resolver worden ingesteld en gebruikt die verschillende sleutel-id's naar sleutels omzet.
2. De clientbibliotheek downloadt de versleutelde gegevens samen met het versleutelingsmateriaal dat is opgeslagen in Azure Storage.
3. De verpakte CEK) wordt vervolgens uitgepakt (ontsleuteld) met behulp van de KEK. De clientbibliotheek heeft tijdens dit proces geen toegang tot de KEK, maar roept alleen het algoritme uitpakken van de Azure Key Vault of een ander sleutelarchief aan.
4. De clientbibliotheek gebruikt de CEK om de versleutelde gebruikersgegevens te ontsleutelen.

Versleuteling/ontsleuteling bij het uploaden/downloaden van blob

De Blob Storage-clientbibliotheek ondersteunt alleen versleuteling van hele blobs bij uploaden. Voor downloads worden zowel volledige downloads als bereikdownloads ondersteund.

Tijdens de versleuteling genereert de clientbibliotheek een willekeurige initialisatievector (IV) van 16 bytes en een willekeurige CEK van 32 bytes en voert de envelopversleuteling van de blobgegevens uit met behulp van deze informatie. De verpakte CEK en enkele aanvullende versleutelingsmetagegevens worden vervolgens opgeslagen als blobmetagegevens, samen met de versleutelde blob.

Wanneer een client een volledige blob downloadt, wordt de verpakte CEK uitgepakt en samen met de IV gebruikt om de ontsleutelde gegevens naar de client te retourneren.

Bij het downloaden van een willekeurig bereik in de versleutelde blob moet het bereik van gebruikers worden aangepast om een kleine hoeveelheid extra gegevens te krijgen die kunnen worden gebruikt om het aangevraagde bereik te ontsleutelen.

Alle blobtypen (blok-blobs, pagina-blobs en toevoeg-blobs) kunnen met dit schema worden versleuteld/ontsleuteld.

Voorbeeld: een blob versleutelen en ontsleutelen met versleuteling aan de clientzijde v2

In het codevoorbeeld in deze sectie ziet u hoe u versleuteling aan de clientzijde v2 gebruikt om een blob te versleutelen en te ontsleutelen.

// Your key and key resolver instances, either through Azure Key Vault SDK or an external implementation.
IKeyEncryptionKey key;
IKeyEncryptionKeyResolver keyResolver;

// Create the encryption options to be used for upload and download.
ClientSideEncryptionOptions encryptionOptions = new ClientSideEncryptionOptions(ClientSideEncryptionVersion.V2_0)
{
   KeyEncryptionKey = key,
   KeyResolver = keyResolver,
   // String value that the client library will use when calling IKeyEncryptionKey.WrapKey()
   KeyWrapAlgorithm = "some algorithm name"
};

// Set the encryption options on the client options.
BlobClientOptions options = new SpecializedBlobClientOptions() { ClientSideEncryption = encryptionOptions };

// Create blob client with client-side encryption enabled.
// Client-side encryption options are passed from service clients to container clients, 
// and from container clients to blob clients.
// Attempting to construct a BlockBlobClient, PageBlobClient, or AppendBlobClient from a BlobContainerClient
// with client-side encryption options present will throw, as this functionality is only supported with BlobClient.
BlobClient blob = new BlobServiceClient(connectionString, options).GetBlobContainerClient("my-container").GetBlobClient("myBlob");

// Upload the encrypted contents to the blob.
blob.Upload(stream);

// Download and decrypt the encrypted contents from the blob.
MemoryStream outputStream = new MemoryStream();
blob.DownloadTo(outputStream);

using Azure.Storage.Blobs.Specialized;

// An existing BlobClient instance and encryption options.
BlobClient plaintextBlob;
ClientSideEncryptionOptions encryptionOptions;

// Get a copy of the blob that uses client-side encryption.
BlobClient clientSideEncryptionBlob = plaintextBlob.WithClientSideEncryptionOptions(encryptionOptions);

blob_client = blob_service_client.get_blob_client(container=container_name, blob=blob_name)
    blob_client.require_encryption = True
    blob_client.key_encryption_key = kek
    blob_client.encryption_version = ‘2.0’  # Use Version 2.0!

    with open("decryptedcontentfile.txt", "rb") as stream:
        blob_client.upload_blob(stream, overwrite=OVERWRITE_EXISTING)

Eerder versleutelde gegevens opnieuw versleutelen met versleuteling aan clientzijde v2

Alle gegevens die eerder zijn versleuteld met versleuteling aan de clientzijde v1, moeten worden ontsleuteld en vervolgens opnieuw worden versleuteld met versleuteling aan de clientzijde v2 om het beveiligingsprobleem te verhelpen. Voor ontsleuteling moeten de gegevens worden gedownload en voor hercodering moet deze opnieuw worden geladen naar Blob Storage.

Versleuteling en prestaties aan clientzijde

Houd er rekening mee dat het versleutelen van uw opslaggegevens leidt tot extra overhead voor prestaties. Wanneer u versleuteling aan de clientzijde in uw toepassing gebruikt, moet de clientbibliotheek de CEK en IV veilig genereren, de inhoud zelf versleutelen, communiceren met het door u gekozen sleutelarchief voor sleutel-omhulling, en aanvullende metagegevens opmaken en uploaden. Deze overhead is afhankelijk van de hoeveelheid gegevens die wordt versleuteld. We raden klanten aan hun toepassingen altijd te testen op prestaties tijdens de ontwikkeling.

Volgende stappen

• Azure Storage-versleuteling aan clientzijde bijwerken in SDK om beveiligingsproblemen op te lossen
• Azure Storage-versleuteling voor inactieve gegevens
• Documentatie voor Azure Key Vault