Criptografia de Arquivo de Trilha (Dados em Repouso)

Todos os dados relacionados ao cliente, como arquivos de trilha, bem como quaisquer dados dependentes/derivados, como Recuperação Vinculada, dados derramados/divididos no disco, são mantidos em um formato criptografado no ambiente do Oracle GoldenGate.

O Oracle GoldenGate usa diferentes técnicas de criptografia para proteger dados em repouso. A criptografia é feita usando uma chave mestra e suporta o uso de várias chaves mestras.

O Oracle GoldenGate fornece métodos baseados no AES para criptografia de arquivos de trilha. Os recursos para criptografia de arquivos de trilha incluem:

• O ANSI X9.102 é o algoritmo de encapsulamento de chaves usado para criptografia de encapsulamento.

• A chave de criptografia de dados (DEK) para cada arquivo de trilha (chave Local) é incluída.

• Uma versão criptografada da chave local é incluída no cabeçalho do arquivo de trilha e uma chave mestra é usada para criptografar a chave de criptografia de dados.

• Os níveis de criptografia são AES128, AES192, AES 256.

Por Que Usar o KMS para Armazenar as Chaves de Criptografia do Oracle GoldenGate?

A criptografia de arquivos de trilha do Oracle GoldenGate é aprimorada usando o OKV ou o OCI KMS como o KMS (Key Management Service) para armazenar as chaves mestras.

Cada vez que o Oracle GoldenGate cria um arquivo de trilha, ele gera uma nova chave de criptografia automaticamente. Esta chave de criptografia criptografa o conteúdo da trilha. A chave mestra criptografa a chave de criptografia. Esse processo de criptografia de chaves é conhecido como chave wrap e é descrito no ANS X9.102 padrão do American Standards Committee.

Gerenciamento de chaves refere-se ao gerenciamento de chaves criptográficas dentro de uma empresa. Ele lida com a geração, troca, armazenamento, uso e substituição de chaves, conforme necessário. Um KMS também inclui os principais servidores, procedimentos do usuário e protocolos. A segurança da empresa depende de um gerenciamento de chaves bem-sucedido.

Estas são as vantagens de usar o KMS com o Oracle GoldenGate:

• Gerenciamento centralizado do ciclo de vida das chaves principais. Você poderá gerar e fazer upload de chaves mestras para o Oracle Key Vault diretamente usando atributos personalizados e executar tarefas de manutenção do ciclo de vida no KMS diretamente.

• O Oracle GoldenGate não precisa armazenar as chaves mestras localmente e não está envolvido no gerenciamento do ciclo de vida das chaves mestras.

• O Oracle GoldenGate pode aproveitar dos recursos especializados do KMS que fornecem gerenciamento de chaves com várias camadas de segurança.

Serviços do Oracle Key Management

O Oracle GoldenGate oferece os seguintes métodos para gerenciamento de chaves:

• Wallet Local: A chave mestra de criptografia é armazenada no arquivo de wallet local.

• Oracle Key Vault (OKV): A chave principal de criptografia é armazenada no Oracle Key Vault. Esse serviço do Oracle Key Vault pode residir em um servidor diferente do Oracle GoldenGate.

  O método OKV é altamente recomendado para criptografia de trilha do Oracle GoldenGate on-premises. Este método está disponível com a Arquitetura de Microsserviços do Oracle GoldenGate e requer a definição de um perfil de criptografia no Oracle GoldenGate. Consulte Usando a Criptografia do Arquivo de Trilha do Oracle Key Vault no Oracle GoldenGate.

• Oracle Cloud Infrastructure Key Management Service (OCI KMS): a chave principal de criptografia é armazenada no OCI KMS. A chave mestra nunca sai do OCI KMS. Esse método será recomendado se a sua implantação do Oracle GoldenGate puder acessar o OCI KMS.

  Este método funciona com a Arquitetura de Microsserviços do Oracle GoldenGate e requer a definição de um perfil de criptografia no Oracle GoldenGate. Consulte Configurar Processos do Oracle GoldenGate para Ativar a Criptografia de Arquivo de Trilha do OCI KMS.

• Serviço de Plug-in de Perfil de Criptografia de Terceiros: O serviço de plug-in de perfil de criptografia de terceiros só está disponível com o Linux. Para configurar e criar o serviço de plug-in para o perfil de criptografia, consulte Usando o Serviço de Plug-in para Criptografia de Arquivo de Trilha.

Suporte a criptografia para arquivos armazenados em cache

A partir do Oracle GoldenGate 26ai, os dados de usuário terceirizados, como arquivos de cache, são criptografados com o mesmo Algoritmo de Criptografia usado para os arquivos de trilha.

Suporte de Criptografia para Arquivos BR Persistidos

A partir do Oracle GoldenGate 26ai, os dados de usuário terceirizados, como os arquivos de dados persistentes (PCDFs) do Bounded Recovery (BR), são criptografados com o mesmo Algoritmo de Criptografia usado para os arquivos de trilha.