Funciones de cifrado consultables

Overview

En esta página, puede conocer las ventajas de seguridad del cifrado consultable, su funcionamiento y su comparación con otros mecanismos de seguridad compatibles con MongoDB. También puede ver un escenario ficticio que demuestra el valor del cifrado consultable para proteger sus datos.

Queryable Encryption

Queryable Encryption permite que una aplicación cliente encripte datos antes de transportarlos a través de la red utilizando cifrado totalmente aleatorio, manteniendo la capacidad de consulta. Los datos confidenciales se encriptan y desencriptan de manera transparente por parte del cliente y solo se comunican hacia y desde el servidor en forma cifrada.

A diferencia del cifrado a nivel de campo del lado del cliente, que puede usar cifrado determinista, el cifrado consultable utiliza esquemas de cifrado rápidos y con capacidad de búsqueda basados ​​en cifrado estructurado. Estos esquemas generan diferentes valores de salida cifrados incluso con la misma entrada de texto sin cifrar.

Consideraciones de seguridad

• El cifrado consultable no proporciona ninguna garantía de integridad criptográfica contra adversarios con acceso a su clave maestra de cliente o claves de cifrado de datos.

• El cifrado consultable no ofrece ninguna garantía de integridad criptográfica contra adversarios con acceso de escritura arbitrario a colecciones que contienen datos cifrados.

• MongoDB utiliza la validación de esquemas para forzar el cifrado de campos específicos de una colección. Sin un esquema del lado del cliente, el cliente descarga el esquema del lado del servidor de la colección para determinar qué campos cifrar. Para evitar este problema, utilice la validación de esquemas del lado del cliente.

  Dado que el cifrado consultable no proporciona un mecanismo para verificar la integridad de un esquema, confiar en un esquema del servidor implica confiar en que el esquema del servidor no ha sido manipulado. Si un adversario compromete el servidor, puede modificar el esquema para que un campo previamente cifrado ya no esté etiquetado para cifrado. Esto hace que el cliente envíe valores de texto sin formato para ese campo.

  Para obtener un ejemplo de configuración para esquemas del lado del cliente y del servidor, consulte el ejemplo CSFLE en Aplicación de cifrado a nivel de campo del lado del servidor CSFLE.

Cómo funciona Queryable Encryption

El siguiente diagrama muestra el proceso y la arquitectura de cómo se utiliza el cifrado consultable en un entorno de cliente.

En este diagrama, el usuario puede consultar datos completamente cifrados de forma aleatoria, como un número de SSN.

El proceso y los mecanismos que hacen esto posible dentro del cifrado consultable son los siguientes:

1. Cuando la aplicación envía la consulta, los controladores MongoDB primero analizan la consulta.

2. El controlador reconoce que la consulta se realiza en un campo cifrado y solicita las claves de cifrado al proveedor de claves proporcionado por el cliente, como:

   • Servicio de administración de claves de AWS (AWS KMS)

   • Google Cloud KMS

   • Azure Key Vault

   • Any Proveedor de claves compatible conKMIP

3. El controlador envía la consulta al servidor MongoDB con los campos cifrados representados como texto cifrado.

4. El cifrado consultable implementa un esquema rápido y con capacidad de búsqueda que permite al servidor procesar consultas sobre datos totalmente cifrados, sin necesidad de conocer su contenido. Tanto los datos como la consulta permanecen cifrados en todo momento en el servidor.

5. El servidor de MongoDB devuelve los resultados cifrados de la query al driver.

6. Los resultados de la consulta se descifran con las claves que tiene el controlador y se devuelven al cliente, mostrándose como texto sin formato.

El cifrado consultable funciona con las siguientes estructuras de datos. Es fundamental que no se modifiquen ni eliminen, ya que los resultados de las consultas serán incorrectos.

• El cifrado consultable agrega una __safeContent__ campo a documentos en cualquier colección donde haya un campo cifrado con cifrado consultable.

• El cifrado consultable crea dos colecciones de metadatos internos en la misma base de datos que la colección donde hay un campo cifrado de cifrado consultable. Estas se nombran de la siguiente manera:

  • enxcol_.<collectionName>.esc

  • enxcol_.<collectionName>.ecoc

El cifrado consultable mantiene los campos cifrados seguros en los siguientes escenarios:

• Acceso directo a campos cifrados por parte de un superusuario de base de datos

• Acceso a campos cifrados mediante la lectura de la memoria del servidor

• Captura de campos cifrados a través de una red insegura

• Acceso a campos cifrados en el disco mediante la lectura de archivos de base de datos o de respaldo

• Ataques de análisis de frecuencia mediante la identificación de patrones en documentos con campos cifrados

Si bien todos los clientes tienen acceso a los campos de datos no confidenciales, solo los clientes de cifrado consultable configurados adecuadamente pueden ejecutar consultas de lectura y escritura utilizando los campos de datos cifrados.

Otros mecanismos de seguridad

Esta sección describe los siguientes mecanismos de seguridad compatibles con MongoDB y explica sus casos de uso y limitaciones:

• Control de acceso basado en roles

• Cifrado en reposo

• Cifrado de transporte (TLS/SSL)

Comparación de características

El siguiente diagrama describe las características de seguridad que admite MongoDB y las posibles vulnerabilidades de seguridad que abordan:

Scenario

El siguiente escenario ficticio demuestra el valor del cifrado consultable para proteger los datos de su aplicación y cómo el cifrado consultable interactúa con los demás mecanismos de seguridad analizados en esta guía.

En este escenario, protegemos datos confidenciales en un sistema de gestión de atención médica que almacena información personal, de facturación y registros médicos de pacientes para una empresa ficticia, MedcoMD. Ninguno de los datos de los pacientes es público, y datos específicos como su número de seguro social (SSN, un número de identificación emitido por el gobierno de EE. UU.), número de identificación del paciente, información de facturación e información sobre medicamentos son particularmente confidenciales y están sujetos a las normas de privacidad. Es importante para la empresa y el paciente que los datos se mantengan privados y seguros.

MedcoMD necesita este sistema para satisfacer los siguientes casos de uso:

• Los médicos utilizan el sistema para acceder a los registros médicos de los pacientes, a la información de facturación y actualizar los medicamentos.

• Los recepcionistas utilizan el sistema para verificar la identidad de los pacientes utilizando su información de contacto.

• Los recepcionistas pueden ver la información de facturación de un paciente, pero no su número de identificación de paciente.

• Los recepcionistas no pueden acceder a los registros médicos de un paciente.

MedcoMD también está preocupado por la divulgación de datos sensibles a través de cualquiera de los siguientes métodos:

• Divulgación accidental de datos en la pantalla visible públicamente de una recepcionista.

• Acceso directo a la base de datos por parte de un superusuario, como por ejemplo un administrador de base de datos.

• Captura de datos a través de una red insegura.

• Acceso a los datos mediante la lectura de la memoria del servidor de base de datos.

• Acceso a los datos mediante la lectura de bases de datos o archivos de respaldo.

¿Qué puede hacer MedcoMD para equilibrar la funcionalidad y las restricciones de acceso de su sistema de gestión de atención médica?

Obtén más información

Para ver una lista de las medidas de seguridad que debe implementar para proteger su implementación de MongoDB, consulte la Lista de verificación de seguridad.

Para empezar a usar Queryable Encryption, consulta el Inicio rápido de Queryable Encryption.