Encriptación en uso

Overview

Puede usar el controlador de C++ para cifrar campos específicos de un documento mediante un conjunto de funciones llamadas cifrado en uso. Este cifrado permite que su aplicación cifre datos antes de enviarlos a MongoDB y consulte documentos con campos cifrados.

El cifrado en uso impide que usuarios no autorizados vean datos de texto plano mientras se envían a MongoDB o mientras se encuentran en una base de datos cifrada. Para habilitar el cifrado en uso en una aplicación y autorizarla a descifrar datos, debe crear claves de cifrado a las que solo su aplicación pueda acceder. Solo las aplicaciones con acceso a sus claves de cifrado pueden acceder a los datos de texto plano descifrados. Si un atacante accede a la base de datos, solo podrá ver los datos cifrados, ya que no tiene acceso a las claves de cifrado.

Puedes utilizar el encriptación en uso para cifrar campos en tus documentos de MongoDB que contienen los siguientes tipos de datos sensibles:

• Números de tarjetas de crédito

• Direcciones

• Información de salud

• Información financiera

• Cualquier otra información confidencial o de identificación personal (PII)

MongoDB ofrece las siguientes características para habilitar el cifrado en uso:

• Queryable Encryption

• Cifrado a nivel de campo del lado del cliente

Queryable Encryption

El cifrado consultable es la función de cifrado en uso de próxima generación, introducida inicialmente como versión preliminar en MongoDB Server 6.0 y como función de disponibilidad general (GA) en MongoDB 7.0. El cifrado consultable permite buscar la igualdad en los campos cifrados y cifra cada valor de forma única.

Para obtener más información sobre el cifrado consultable, consulte Cifrado consultable en el manual del servidor MongoDB.

Cifrado a nivel de campo del lado del cliente

El cifrado a nivel de campo del lado del cliente (CSFLE) permite la búsqueda de igualdad en campos cifrados. CSFLE se diferencia del cifrado consultable en que permite seleccionar un algoritmo de cifrado determinista o aleatorio para cifrar los campos. Al usar CSFLE, solo se pueden consultar campos cifrados que utilicen un algoritmo de cifrado determinista. Al usar un algoritmo de cifrado aleatorio para cifrar campos en CSFLE, estos se pueden descifrar, pero no se pueden realizar consultas de igualdad en esos campos. Al usar el cifrado consultable, no se puede especificar el algoritmo de cifrado, pero se pueden consultar todos los campos cifrados.

Al cifrar un valor de forma determinista, el mismo valor de entrada produce el mismo valor de salida. Si bien el cifrado determinista permite realizar consultas en esos campos cifrados, los datos cifrados con baja cardinalidad son susceptibles de ser descifrados mediante análisis de frecuencia.

Esta sección muestra cómo configurar CSFLE utilizando los siguientes mecanismos:

• cifrado automático

• Cifrado explícito

auto data_key_id = client_encryption.create_data_key("local");
auto json_schema = document{} << "properties" << open_document << "encryptedFieldName" << open_document << "encrypt"
                                << open_document << "keyId" << open_array << data_key_id << close_array << "bsonType"
                                << "string"
                                << "algorithm"
                                << "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic" << close_document << close_document
                                << close_document << "bsonType"
                                << "object" << finalize;

// Configure your MongoDB client's encryption options here
class client_encryption client_encryption(std::move(client_encryption_opts));
auto data_key_id = client_encryption.create_data_key("local");
options::encrypt encrypt_opts{};
encrypt_opts.key_id(data_key_id.view());
encrypt_opts.algorithm(options::encrypt::encryption_algorithm::k_deterministic);
// Explicitly encrypts a BSON value
auto to_encrypt = bsoncxx::types::bson_value::make_value("secret message");
auto encrypted_message = client_encryption.encrypt(to_encrypt, encrypt_opts);
// Explicitly decrypts a BSON value
auto decrypted_message = client_encryption.decrypt(encrypted_message);
// Inserts the encrypted value into the database
coll.insert_one(make_document(kvp("encryptedField", encrypted_message)));

options::auto_encryption auto_encrypt_opts{};
auto_encrypt_opts.bypass_auto_encryption(true);
options::client client_opts{};
client_opts.auto_encryption_opts(std::move(auto_encrypt_opts));
class client client_encrypted {uri{}, std::move(client_opts)};

Información Adicional

Para obtener más información sobre CSFLE, consulte CSFLE en el manual de MongoDB Server.