Cifrado de campos y consultabilidad

Overview

Obtenga más información sobre los siguientes temas de cifrado consultable:

• Consideraciones al habilitar consultas en un campo cifrado.

• Cómo especificar campos para el cifrado.

• Cómo configurar un campo encriptado para que pueda consultarse.

• Tipos de consulta y cuáles puedes utilizar en campos cifrados.

• Cómo optimizar el rendimiento de las consultas en campos cifrados.

Consideraciones al habilitar la consulta

Al usar el cifrado consultable, puede elegir si desea que un campo cifrado sea consultable. Si no necesita realizar operaciones CRUD que requieran consultar un campo cifrado, es posible que no necesite habilitar la consulta en ese campo. Aun así, puede recuperar el documento completo consultando otros campos consultables o no cifrados.

Al habilitar la consulta de campos cifrados, el Cifrado Consultable crea un índice para cada campo cifrado, lo que puede aumentar la duración de las operaciones de escritura en dicho campo. Cuando una operación de escritura actualiza un campo indexado, MongoDB también actualiza el índice relacionado.

Cuando se crea una colección cifrada, MongoDB crea dos colecciones de metadatos, lo que aumenta los requisitos de espacio de almacenamiento.

Especificar campos para el cifrado

Con el cifrado consultable, se especifican los campos que se desean cifrar automáticamente en el documento de MongoDB mediante un esquema de cifrado JSON. El esquema de cifrado define qué campos se cifran y qué consultas están disponibles para ellos.

Para especificar campos para cifrado y consulta, cree un esquema de cifrado que incluya las siguientes propiedades:

{
   "firstName": "Jon",
   "lastName": "Snow",
   "patientId": 12345187,
   "address": "123 Cherry Ave",
   "medications": [
      "Adderall",
      "Lipitor"
   ],
   "patientInfo": {
      "ssn": "921-12-1234",
      "billing": {
            "type": "visa",
            "number": "1234-1234-1234-1234"
      }
   }
}

const encryptedFieldsObject = {
   fields: [
      {
         path: "patientId",
         keyId: "<unique data encryption key>",
         bsonType: "int"
      },
      {
         path: "patientInfo.ssn",
         keyId: "<unique data encryption key>",
         bsonType: "string"
      },
      {
         path: "medications",
         keyId: "<unique data encryption key>",
         bsonType: "array"
      },
      {
         path: "patientInfo.billing",
         keyId: "<unique data encryption key>",
         bsonType: "object"
      }
   ]
}

Configurar campos para realizar consultas

Incluya la propiedad queries en los campos para que sean consultables. Esto permite que un cliente autorizado emita consultas de lectura y escritura en esos campos. Omitir la propiedad queries impide que los clientes consulten un campo.

const encryptedFieldsObject = {
   fields: [
      {
         path: "patientId",
         bsonType: "int",
         queries: { queryType: "equality" }
      },
      {
         path: "patientInfo.ssn",
         bsonType: "string",
         queries: { queryType: "equality" }
      },
      {
         path: "medications",
         bsonType: "array"
      },
      {
         path: "patientInfo.billing",
         bsonType: "object"
      },
   ]
}

Contención

Las operaciones de escritura simultáneas, como insertar el mismo par campo/valor en varios documentos en rápida sucesión, pueden causar contención: conflictos que retrasan las operaciones.

Con el cifrado consultable, MongoDB rastrea las ocurrencias de cada par campo-valor en una colección cifrada mediante un contador interno. El factor de contención particiona este contador, de forma similar a una matriz. Esto minimiza los problemas de incremento del contador al usar insert, update o findAndModify para añadir o modificar un campo cifrado con el mismo par campo-valor en una sucesión cercana. contention = 0 crea una matriz con un elemento en el índice 0. contention = 4 crea una matriz con 5 elementos en los índices 0-4. MongoDB incrementa un elemento aleatorio de la matriz durante la inserción.

Si no se configura, contention toma el valor predeterminado 8, lo que proporciona un alto rendimiento para la mayoría de las cargas de trabajo. Una mayor contención mejora el rendimiento de las operaciones de inserción y actualización en campos de baja cardinalidad, pero reduce el rendimiento de las búsquedas.

Esquemas de cliente y servidor

MongoDB admite la validación de esquemas para aplicar el cifrado de campos específicos de una colección. Los clientes que utilizan el cifrado consultable automático tienen un comportamiento específico según la configuración de la conexión a la base de datos:

• Si el objeto de conexión encryptedFieldsMap contiene una clave para la colección especificada, el cliente utiliza dicho objeto para realizar el cifrado consultable automático, en lugar de usar el esquema remoto. Como mínimo, las reglas locales deben cifrar los campos que el esquema remoto marca como que requieren cifrado.

• Si el encryptedFieldsMap objeto de conexión no contiene una clave para la colección especificada, el cliente descarga el esquema remoto del lado del servidor para la colección y lo utiliza para realizar el cifrado consultable automático.

  Importante

  Consideraciones sobre el comportamiento

  Cuando un cliente no tiene un esquema de cifrado para la colección especificada, ocurre lo siguiente:

  • El cliente confía en que el servidor tiene un esquema válido con respecto al cifrado consultable automático.

  • El cliente utiliza el esquema remoto únicamente para realizar el cifrado automático consultable. No aplica ninguna otra regla de validación especificada en el esquema.

Para obtener más información sobre el cifrado consultable automático, consulte los siguientes recursos:

• Introducción al cifrado consultable

• Inicio rápido del cifrado consultable

Habilitar el cifrado consultable

Habilite el cifrado consultable antes de crear una colección. Habilitar el cifrado consultable después de crear una colección no cifra los campos de los documentos que ya están en ella. Puede habilitar el cifrado consultable en los campos de dos maneras:

• Pase el esquema de cifrado, representado por la constante encryptedFieldsObject, al cliente que la aplicación utiliza para crear la colección:

const client = new MongoClient(uri, {
   autoEncryption: {
      keyVaultNameSpace: "<your keyvault namespace>",
      kmsProviders: "<your kms provider>",
      extraOptions: {
         cryptSharedLibPath: "<path to Automatic Encryption Shared Library>"
      },
      encryptedFieldsMap: {
         "<databaseName.collectionName>": { encryptedFieldsObject }
      }
   }
   ...
   await client.db("<database name>").createCollection("<collection name>");
}

Para obtener más información sobre autoEncryption las opciones de configuración de, consulte la sección Opciones de MongoClient para cifrado consultable.

• Pase el objeto de campos cifrados a createCollection() para crear una nueva colección:

await encryptedDB.createCollection("<collection name>", {
   encryptedFields: encryptedFieldsObject
});