Cryptage des fichiers trace (données inactives)

Toutes les données relatives aux clients, telles que les fichiers trace (trail) et toutes les données dépendantes/dérivées, telles que la récupération délimitée, les données déversées/préparées sur disque, sont conservées dans un format crypté dans l'environnement Oracle GoldenGate.

Oracle GoldenGate utilise différentes techniques de cryptage pour sécuriser les données inactives. Le chiffrement est effectué à l'aide d'une clé maître et prend en charge l'utilisation de plusieurs clés maîtres.

Oracle GoldenGate fournit des méthodes basées sur AES pour le cryptage des fichiers trace. Les fonctionnalités de cryptage des fichiers trace sont les suivantes :

• ANSI X9.102 est l'algorithme d'encapsulation de clé utilisé pour le chiffrement par encapsulation.

• La clé de cryptage des données (DEK) pour chaque fichier trace (clé locale) est incluse.

• Une version cryptée de la clé locale est incluse dans l'en-tête du fichier trace et une clé maître est utilisée pour crypter la clé de cryptage des données.

• Les niveaux de cryptage sont AES128, AES192 et AES 256.

Pourquoi utiliser KMS pour stocker les clés de cryptage Oracle GoldenGate ?

Le cryptage Oracle GoldenGate des fichiers trace est amélioré en utilisant OKV ou OCI KMS en tant que service de gestion des clés (KMS) pour stocker les clés principales.

Chaque fois qu'Oracle GoldenGate crée un fichier trace, il génère automatiquement une nouvelle clé de cryptage. Cette clé de cryptage crypte le contenu de la trace. La clé maître chiffre la clé de chiffrement. Ce processus de chiffrement des clés de chiffrement est appelé key wrap et est décrit dans la norme ANS X9.102 de l'American Standards Committee.

La gestion des clés fait référence à la gestion des clés cryptographiques au sein d'une entreprise. Il traite de la génération, de l'échange, du stockage, de l'utilisation et du remplacement des clés selon les besoins. Un KMS inclut également des serveurs clés, des procédures utilisateur et des protocoles. La sécurité de l'entreprise dépend du succès de la gestion des clés.

Les avantages d'utiliser KMS avec Oracle GoldenGate sont les suivants :

• Gestion centralisée du cycle de vie des clés principales. Vous pourrez générer et télécharger des clés principales vers Oracle Key Vault directement à l'aide d'attributs personnalisés et effectuer directement des tâches de maintenance du cycle de vie dans le KMS.

• Oracle GoldenGate n'a pas besoin de stocker les clés principales localement et n'est pas impliqué dans la gestion du cycle de vie des clés principales.

• Oracle GoldenGate peut tirer parti des fonctionnalités KMS spécialisées qui fournissent la gestion des clés avec plusieurs couches de sécurité.

Services de gestion des clés Oracle

Oracle GoldenGate propose les méthodes suivantes pour la gestion des clés :

• Portefeuille local : la clé maître de cryptage est stockée dans le fichier de portefeuille local.

• Oracle Key Vault (OKV) : la clé maître de cryptage est stockée dans Oracle Key Vault. Ce service Oracle Key Vault peut résider sur un serveur différent d'Oracle GoldenGate.

  La méthode OKV est fortement recommandée pour le cryptage de trace Oracle GoldenGate sur site. Cette méthode est disponible avec l'architecture de microservices Oracle GoldenGate et nécessite la définition d'un profil de cryptage dans Oracle GoldenGate. Reportez-vous à Utilisation du cryptage de fichier de trace Oracle Key Vault dans Oracle GoldenGate.

• Oracle Cloud Infrastructure Key Management Service (OCI KMS) : la clé maître de cryptage est stockée dans OCI KMS. La clé maître ne quitte jamais OCI KMS. Cette méthode est recommandée si votre déploiement Oracle GoldenGate peut accéder à OCI KMS.

  Cette méthode fonctionne avec l'architecture des microservices Oracle GoldenGate et nécessite la définition d'un profil de cryptage dans Oracle GoldenGate. Reportez-vous à Configuration des processus Oracle GoldenGate pour activer le cryptage de fichier de trace OCI KMS.

• Service de module d'extension de profil de cryptage tiers : le service de module d'extension de profil de cryptage tiers est disponible uniquement sous Linux. Pour configurer et créer le service de module d'extension pour le profil d'encyrption, reportez-vous à Utilisation du service de module d'extension pour le cryptage de fichier de trace.

Prise en charge du chiffrement pour les fichiers mis en cache

A partir d'Oracle GoldenGate 26ai, les données utilisateur externalisées telles que les fichiers cache sont cryptées avec le même algorithme de cryptage que celui utilisé pour les fichiers trace.

Prise en charge du chiffrement pour les fichiers BR persistants

A partir d'Oracle GoldenGate 26ai, les données utilisateur externalisées telles que les fichiers de données persistants (PCDF) de récupération délimitée (BR) sont cryptées avec le même algorithme de cryptage que celui utilisé pour les fichiers trace.