Cifrado de archivo de pista (datos estáticos)

Todos los datos relacionados con el cliente, como los archivos de pista, así como los datos dependientes o derivados, como la recuperación enlazada, los datos desglosados o almacenados temporalmente en el disco, se mantienen en un formato cifrado en el entorno de Oracle GoldenGate.

Oracle GoldenGate utiliza diferentes técnicas de cifrado para proteger los datos estáticos. El cifrado se realiza mediante una clave maestra y admite el uso de varias claves maestras.

Oracle GoldenGate proporciona métodos basados en AES para el cifrado de archivos de pista. Las funciones para el cifrado de archivos de pista incluyen:

• ANSI X9.102 es el algoritmo de encapsulado de claves utilizado para el cifrado de encapsulación.

• Se incluye la clave de cifrado de datos (DEK) para cada archivo de pista (clave local).

• En la cabecera del archivo de pista se incluye una versión cifrada de la clave local y se utiliza una clave maestra para cifrar la clave de cifrado de datos.

• Los niveles de cifrado son AES128, AES192, AES 256.

¿Por qué utilizar KMS para almacenar claves de cifrado de Oracle GoldenGate?

El cifrado de archivos de pista de Oracle GoldenGate se mejora mediante OKV u OCI KMS como servicio de gestión de claves (KMS) para almacenar claves maestras.

Cada vez que Oracle GoldenGate crea un archivo de pista, genera automáticamente una nueva clave de cifrado. Esta clave de cifrado cifra el contenido de la pista. La clave maestra cifra la clave de cifrado. Este proceso de cifrado de claves se conoce como key wrap y se describe en el estándar ANS X9.102 del American Standards Committee.

La gestión de claves se refiere a la gestión de claves criptográficas dentro de una empresa. Se ocupa de generar, intercambiar, almacenar, usar y reemplazar claves según sea necesario. Un KMS también incluye servidores clave, procedimientos de usuario y protocolos. La seguridad de la empresa depende de una gestión de claves correcta.

Las ventajas de utilizar KMS con Oracle GoldenGate son:

• Gestión centralizada del ciclo de vida de las claves maestras. Podrá generar y cargar claves maestras en Oracle Key Vault directamente mediante atributos personalizados y realizar tareas de mantenimiento del ciclo de vida dentro de KMS directamente.

• Oracle GoldenGate no necesita almacenar las claves maestras localmente y no participa en la gestión del ciclo de vida de las claves maestras.

• Oracle GoldenGate puede aprovechar las funciones de KMS especializadas que proporcionan gestión de claves con varias capas de seguridad.

Servicios de gestión de claves de Oracle

Oracle GoldenGate ofrece los siguientes métodos para la gestión de claves:

• Cartera local: la clave maestra de cifrado se almacena en el archivo de cartera local.

• Oracle Key Vault (OKV): la clave maestra de cifrado se almacena en Oracle Key Vault. Este servicio de Oracle Key Vault puede residir en un servidor diferente de Oracle GoldenGate.

  Se recomienda utilizar el método OKV para el cifrado de pista local de Oracle GoldenGate. Este método está disponible con la arquitectura de microservicios de Oracle GoldenGate y necesita definir un perfil de cifrado en Oracle GoldenGate. Consulte Uso del cifrado del archivo de pista de Oracle Key Vault en Oracle GoldenGate.

• Oracle Cloud Infrastructure Key Management Service (OCI KMS): la clave maestra de cifrado se almacena en OCI KMS. La clave maestra nunca deja OCI KMS. Se recomienda este método si el despliegue de Oracle GoldenGate puede acceder a OCI KMS.

  Este método funciona con la arquitectura de microservicios de Oracle GoldenGate y necesita definir un perfil de cifrado en Oracle GoldenGate. Consulte Configuración de procesos de Oracle GoldenGate para activar el cifrado del archivo de pista de OCI KMS.

• Servicio de plugin de perfil de cifrado de terceros: el servicio de plugin de perfil de cifrado de terceros solo está disponible con Linux. Para configurar y crear el servicio de plugin para el perfil de cifrado, consulte Uso del servicio de plugin para el cifrado de archivos de pista.

Compatibilidad con cifrado para archivos en caché

A partir de Oracle GoldenGate 26ai, los datos de usuario subcontratados, como los archivos de caché, se cifran con el mismo algoritmo de cifrado utilizado para los archivos de pista.

Compatibilidad con cifrado para archivos BR persistentes

A partir de Oracle GoldenGate 26ai, los datos de usuario subcontratados, como los archivos de datos persistentes (PCDF) de recuperación enlazada (BR), se cifran con el mismo algoritmo de cifrado utilizado para los archivos de pista.