Gestion des données cryptées

Les sections de cette rubrique fournissent des informations sur le cryptage des données lors de la première implémentation de l'application, ainsi que sur divers cas d'utilisation qui peuvent nécessiter un recryptage des données, comme une rotation des clés.

Le traitement batch F1-FLENC (cryptage de champ pour un objet de maintenance) est fourni pour gérer le cryptage/recryptage de toutes les données d'un objet de maintenance donné. Vérifiez votre configuration de cryptage et identifiez tous les objets de maintenance dont les données doivent être cryptées. Exécutez le batch une fois pour chaque objet de maintenance. Les sections ci-dessous mettent en évidence les différents cas d'utilisation qui justifient l'exécution de ce batch pour chaque objet de maintenance.

Cryptage initial des données

Une fois votre configuration de cryptage/hachage achevée, toutes les données ajoutées ou mises à jour à partir de ce point sont cryptées/hachées selon la configuration. Toutefois, pour tous les enregistrements existants dont les données doivent être cryptées/hachées, vous devez exécuter le traitement batch F1-FLENC pour chaque objet de maintenance afin d'effectuer un hachage/cryptage des données des lignes existantes.

Rotation de clés en masse

Si vous introduisez une nouvelle clé de cryptage ou de hachage en suivant les instructions de la section Rotation des clés, ou si vous avez introduit un nouveau trousseau de clés comme indiqué dans la section Rotation des trousseaux de clés, les enregistrements ajoutés ou mis à jour à partir de ce moment font l'objet d'un nouveau cryptage/hachage avec la dernière clé du trousseau de clés correspondant. Toutefois, pour appliquer une rotation de clés pour tous les enregistrements existants qui sont cryptés/hachés avec la clé précédente, vous devez exécuter le traitement batch F1-FLENC pour chaque objet de maintenance afin d'effectuer de nouveau le hachage/cryptage des données des lignes existantes.

Remarque :
Vous pouvez choisir indépendamment d'introduire une nouvelle clé de cryptage ou une nouvelle clé de hachage. Le programme batch vérifie chaque champ chiffré ou haché pour confirmer qu'il utilise la clé active actuelle et, dans le cas contraire, les données sont ajustées.
Remarque :
Lors de la rotation d'une clé de hachage, du moment où la nouvelle clé est activée au moment où tous les enregistrements ont correctement été mis à jour pour utiliser la nouvelle clé de hachage, si des utilisateurs finaux tentent de rechercher des enregistrements via un champ haché, les résultats peuvent s'avérer incohérents. Vous devez planifier la rotation des clés de hachage pendant une période où les utilisateurs finaux ne sont pas affectés. Idéalement, vous devez activez la nouvelle clé et exécuter le contrôle de batch de rotation des clés pour tous les objets de maintenance pendant les heures creuses.

Passage d'un fichier de clés à un trousseau de clés

L'utilisation du trousseau de clés pour la définition de vos clés de cryptage et de hachage permet la rotation des clés. Si votre implémentation a utilisé un fichier de clés pour le cryptage/le hachage de champs et souhaite utiliser le trousseau de clés à la place, vous pouvez le faire comme décrit dans les étapes suivantes.

  • Définissez un trousseau de clés pour la clé symétrique et un trousseau de clés pour la clé de hachage, le cas échéant.
  • Générez et activez une clé pour chaque trousseau de clés.
  • Accédez à la configuration d'une option Mutualisation de paramètres. Pour chaque entrée, ajoutez des références à keyRing / hashKeyRing pour définir les trousseaux de clés nouvellement créés. Veillez à conserver la configuration de la mnémonique d'alias en vigueur. Le système a besoin de ces informations pour savoir comment décrypter les données existantes si elles ont été cryptées à l'aide du fichier de clés. Le système n'a pas besoin du hashAlias si vous passez de l'utilisation du fichier de clés pour la clé de hachage à l'utilisation du trousseau de clés. Le système applique simplement la nouvelle clé de hachage.
  • Les enregistrements ajoutés ou mis à jour à partir de ce moment sont recryptés/hachés à l'aide du trousseau de clés indiqué et de sa clé active. Pour appliquer une rotation de clés pour tous les enregistrements existants qui sont cryptés/hachés avec l'alias du fichier de clés, vous devez exécuter le traitement batch F1-FLENC pour chaque objet de maintenance afin d'effectuer de nouveau le hachage/cryptage des données des lignes existantes.
  • Une fois que vous avez confirmé que toutes les données utilisent le trousseau de clés pour le cryptage et le hachage, vous pouvez mettre à jour la configuration de l'option Mutualisation de paramètres pour supprimer la référence aux anciennes clés d'alias.

Les "notes" qui figurent dans la section Rotation de clés en masse sont également applicables à ce cas d'utilisation.