Esquemas de cifrado

palabra clave cifrar

La palabra clave encrypt define una regla de cifrado para un solo campo en un documento BSON. Las reglas de cifrado que contienen la palabra clave encrypt tienen la siguiente estructura:

"<field-name-to-encrypt>": {
  "encrypt": {
    "algorithm": "<encryption algorithm to use>",
    "bsonType": "<bson type of field>",
    "keyId": [UUID("<_id of your Data Encryption Key>" )]
  }
}

encryptMetadata Keyword

La palabra clave encryptMetadata define las reglas de cifrado que heredan los elementos secundarios de la etiqueta properties. Las reglas de cifrado que contienen encryptMetadata tienen la siguiente estructura:

"bsonType": "object",
"encryptMetadata": {
  "algorithm": "<encryption algorithm inherited by children of properties field>",
  "keyId": [UUID("<_id of your Data Encryption Key>" )]
},
"properties": { <object to inherit encryptMetadata values> }

Palabra clave patternProperties

Puede usar la palabra clave patternProperties en su esquema de cifrado para definir reglas de cifrado para todos los campos cuyos nombres coincidan con una expresión regular. Esto le permite especificar varios campos para el cifrado basándose en una sola expresión regular o especificarlos usando solo una parte del nombre del campo. La palabra clave patternProperties reemplaza a properties en su esquema de cifrado.

Especifique reglas de cifrado con patternProperties utilizando la siguiente estructura:

"bsonType": "object",
"patternProperties": {
    "<regular expression to match>": {
    "encrypt": {
        "algorithm": "<encryption algorithm to use>",
        "bsonType": "<bson type of field>",
        "keyId": [UUID("<_id of your Data Encryption Key>" )]
    }
}

Para ver un ejemplo de cómo usar, consulte patternProperties Esquema de cifrado: Cifrar con propiedades de patrón

Especifique el espacio de nombres

En la raíz de su esquema de cifrado, especifique el espacio de nombres al que se aplica. Especifique lo siguiente para cifrar y descifrar documentos en la colección patients de la base de datos medicalRecords:

{
  "medicalRecords.patients": {
    <the schema created in the following steps of this example>
  }
}

Especifique la clave de cifrado de datos

En el Inicio rápido, se cifran todos los campos del documento con una única clave de cifrado de datos (DEK). Para configurar todos los campos de los documentos para que utilicen una única DEK para el cifrado y el descifrado, especifique el _id de la DEK con la palabra clave encryptMetadata en la raíz del esquema de cifrado, como se indica a continuación:

{
   "medicalRecords.patients": {
      "bsonType": "object",
      "encryptMetadata": {
         "keyId": [ UUID( "<_id of your Data Encryption Key>" ) ]
      },
      "properties": {
         <the schema created in the following steps of this example>
      }
   }
}

Elija reglas de cifrado

Decide cifrar los siguientes campos con los siguientes algoritmos de cifrado:

Elige encriptar los campos ssn y insurance.policyNumber con cifrado determinista por las siguientes razones:

• Desea poder realizar consultas sobre estos campos.

• Los valores de estos campos tienen una alta cardinalidad, por lo que estos datos no son susceptibles a un ataque de análisis de frecuencia.

Elige cifrar el campo bloodType con cifrado aleatorio por las siguientes razones:

• No tienes previsto realizar consultas en este campo.

• Los valores de este campo tienen baja cardinalidad, lo que los hace susceptibles a un ataque de análisis de frecuencia si los cifra de forma determinista.

Debe cifrar el campo medicalRecords con cifrado aleatorio ya que CSFLE no admite el cifrado determinista de campos de tipo array.

Especificar reglas de cifrado

Para cifrar el campo ssn con cifrado determinista, especifique lo siguiente en su esquema de cifrado:

"ssn": {
    "encrypt": {
        "bsonType": "int",
        "algorithm": "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic"
    }
}

Para cifrar el campo bloodType con cifrado aleatorio, especifique lo siguiente en su esquema de cifrado:

"bloodType": {
    "encrypt": {
        "bsonType": "string",
        "algorithm": "AEAD_AES_256_CBC_HMAC_SHA_512-Random"
    }
}

Para cifrar el campo medicalRecords con cifrado aleatorio, especifique lo siguiente en su esquema de cifrado:

"medicalRecords": {
    "encrypt": {
        "bsonType": "array",
        "algorithm": "AEAD_AES_256_CBC_HMAC_SHA_512-Random"
    }
}

Para cifrar el campo insurance.policyNumber con cifrado determinista, especifique lo siguiente en su esquema de cifrado:

"insurance": {
    "bsonType": "object",
    "properties": {
        "policyNumber": {
            "encrypt": {
                "bsonType": "int",
                "algorithm": "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic"
            }
        }
    }
}

Ver el esquema completo

El esquema de cifrado completo para el inicio rápido es el siguiente:

{
  "medicalRecords.patients": {
    "bsonType": "object",
    "encryptMetadata": {
     "keyId": [UUID("<_id of your Data Encryption Key>" )]
   },
    "properties": {
      "insurance": {
        "bsonType": "object",
        "properties": {
          "policyNumber": {
            "encrypt": {
              "bsonType": "int",
              "algorithm": "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic"
            }
          }
        }
      },
      "medicalRecords": {
        "encrypt": {
          "bsonType": "array",
          "algorithm": "AEAD_AES_256_CBC_HMAC_SHA_512-Random"
        }
      },
      "bloodType": {
        "encrypt": {
          "bsonType": "string",
          "algorithm": "AEAD_AES_256_CBC_HMAC_SHA_512-Random"
        }
      },
      "ssn": {
        "encrypt": {
          "bsonType": "int",
          "algorithm": "AEAD_AES_256_CBC_HMAC_SHA_512-Deterministic"
        }
      }
    }
  }
}