Criptografia de dados transparente e sempre criptografada

• Criptografia de dados transparente (TDE)
• Sempre criptografado (AE)

Criptografia de dados transparente

Sempre criptografado

Teclas AE

• Repositório de certificados do Windows para o usuário atual
• Repositório de certificados do Windows para a máquina local
• Serviço do Azure Key Vault
• Um módulo de segurança de hardware (HSM) , que suporta Microsoft CryptoAPI ou API de criptografia:próxima geração

Usando as teclas AE

1. O aplicativo cliente cria uma consulta parametrizada
2. O aplicativo cliente envia a consulta parametrizada para o driver habilitado para AE
3. O driver habilitado para AE entra em contato com o SQL Server para determinar quais parâmetros precisam de criptografia ou descriptografia, o local da CMK e o valor criptografado da CEK
4. O driver habilitado para AE recupera a CMK e descriptografa a CEK
5. O driver habilitado para AE criptografa os parâmetros
6. O driver envia a consulta ao Mecanismo de Banco de Dados
7. O Mecanismo de Banco de Dados recupera os dados e envia o conjunto de resultados ao driver
8. O driver realiza a descriptografia, se necessário, e envia o conjunto de resultados para o aplicativo cliente

Tipos de criptografia AE

• Criptografia determinística , que sempre gera o mesmo valor criptografado para o mesmo valor de entrada. Com essa criptografia, você pode indexar a coluna criptografada e usar pesquisas de ponto, junções de igualdade e expressões de agrupamento na coluna criptografada. No entanto, um usuário mal-intencionado pode tentar adivinhar os valores analisando os padrões dos valores criptografados. Isso é especialmente perigoso quando o conjunto de valores possíveis para uma coluna é discreto, com um pequeno número de valores distintos.
• Criptografia aleatória , que criptografa dados de maneira imprevisível.

Demonstração do AE:Criando os objetos

USE master;
IF DB_ID(N'AEDemo') IS NULL
   CREATE DATABASE AEDemo;
GO
USE AEDemo;
GO

SELECT * 
FROM sys.column_master_keys;

SELECT * 
FROM sys.column_encryption_keys;

CREATE TABLE dbo.Table1
(id INT,
 SecretDeterministic NVARCHAR(10) COLLATE Latin1_General_BIN2 
  ENCRYPTED WITH (COLUMN_ENCRYPTION_KEY = AE_ColumnEncryptionKey,
   ENCRYPTION_TYPE = DETERMINISTIC,
   ALGORITHM = 'AEAD_AES_256_CBC_HMAC_SHA_256') NULL,
 SecretRandomized NVARCHAR(10) COLLATE Latin1_General_BIN2
  ENCRYPTED WITH (COLUMN_ENCRYPTION_KEY = AE_ColumnEncryptionKey,
   ENCRYPTION_TYPE = RANDOMIZED,
   ALGORITHM = 'AEAD_AES_256_CBC_HMAC_SHA_256') NULL
);

Demonstração do AE:inserindo os dados

INSERT INTO dbo.Table1
 (id, SecretDeterministic, SecretRandomized)
VALUES (1, N'DeterSec01', N'RandomSec1');

using System;
using System.Collections.Generic;
using System.Data;
using System.Data.SqlClient;
using System.Linq;
using System.Text;
using System.Threading.Tasks;
namespace AEDemo
{
    class Program
    {
        static void Main(string[] args)
        {
            string connectionString = "Data Source=localhost; “ +
              “Initial Catalog=AEDemo; Integrated Security=true; ” +
              “Column Encryption Setting=enabled";
            SqlConnection connection = new SqlConnection(connectionString);
            connection.Open();
            if (args.Length != 3)
            {
                Console.WriteLine("Please enter a numeric “ + 
                                  “and two string arguments.");
                return;
            }
            int id = Int32.Parse(args[0]);
            {
                using (SqlCommand cmd = connection.CreateCommand())
                {
                    cmd.CommandText = @"INSERT INTO dbo.Table1 “ +
                        “(id, SecretDeterministic, SecretRandomized)" +
                        " VALUES (@id, @SecretDeterministic, @SecretRandomized);";

                    SqlParameter paramid= cmd.CreateParameter();
                    paramid.ParameterName = @"@id";
                    paramid.DbType = DbType.Int32;
                    paramid.Direction = ParameterDirection.Input;
                    paramid.Value = id;
                    cmd.Parameters.Add(paramid);

                    SqlParameter paramSecretDeterministic = cmd.CreateParameter();
                    paramSecretDeterministic.ParameterName = 
                      @"@SecretDeterministic";
                    paramSecretDeterministic.DbType = DbType.String;
                    paramSecretDeterministic.Direction = ParameterDirection.Input;
                    paramSecretDeterministic.Value = "DeterSec1";
                    paramSecretDeterministic.Size = 10;
                    cmd.Parameters.Add(paramSecretDeterministic);

                    SqlParameter paramSecretRandomized = cmd.CreateParameter();
                    paramSecretRandomized.ParameterName =
                      @"@SecretRandomized";
                    paramSecretRandomized.DbType = DbType.String;
                    paramSecretRandomized.Direction = ParameterDirection.Input;
                    paramSecretRandomized.Value = "RandomSec1";
                    paramSecretRandomized.Size = 10;
                    cmd.Parameters.Add(paramSecretRandomized);

                    cmd.ExecuteNonQuery();
                }
            }
            connection.Close();
            Console.WriteLine("Row inserted successfully");            
        }
    }
}

Demonstração do AE:lendo os dados

SELECT *
FROM dbo.Table1;

INSERT INTO dbo.Table1
 (id, SecretDeterministic, SecretRandomized)
VALUES (2, N'DeterSec2', N'RandomSec2');

SELECT * 
FROM dbo.Table1;

Limitações de AE

• Somente ordenações BIN2 são compatíveis com strings
• Você pode indexar apenas colunas com criptografia determinística e usar um conjunto limitado de operações T-SQL nessas colunas
• Você não pode indexar colunas com criptografia aleatória
• AE é limitado apenas às edições Enterprise e Developer
• Trabalhar com EA no SSMS pode ser doloroso

Conclusão