Criptografar e descriptografar dados com o Cloud KMS (assimétrico)

1. Visão geral

O Cloud KMS é um serviço de gerenciamento de chaves hospedado na nuvem que permite gerenciar a criptografia dos seus serviços na nuvem da mesma forma que você faria localmente. Ele inclui suporte para criptografia, descriptografia, assinatura e verificação usando vários tipos e fontes de chaves, incluindo o Cloud HSM para chaves protegidas por hardware. Neste tutorial, você aprende a criptografar e descriptografar dados usando chaves assimétricas do Cloud KMS.

You vai aprender

• Como ativar a API Cloud KMS
• Como criar um keyring
• Como criar uma chave de criptografia para criptografia/descriptografia assimétrica

2. Configuração e requisitos

Configuração de ambiente autoguiada

1. Faça login no Console do Cloud e crie um novo projeto ou reutilize um existente. Crie uma se você ainda não tiver uma conta do Gmail ou do G Suite.

Observação: para acessar facilmente o Console do Cloud, basta memorizar o URL, que é console.cloud.google.com.

Lembre-se do código do projeto, um nome exclusivo em todos os projetos do Google Cloud. O nome acima já foi escolhido e não servirá para você. Faremos referência a ele mais adiante neste codelab como PROJECT_ID.

Observação: se você estiver usando uma conta do Gmail, deixe o local padrão definido como Sem organização. Se você estiver usando uma conta do G Suite, escolha um local adequado à sua organização.

2. Em seguida, será necessário ativar o faturamento no Console do Cloud para usar os recursos do Google Cloud.

A execução deste codelab não será muito cara, se for o caso. Siga todas as instruções na seção "Limpeza", que orienta você sobre como encerrar recursos para não incorrer em cobranças além deste tutorial. Novos usuários do Google Cloud estão qualificados para o programa de US$ 300 de avaliação sem custos.

Inicie o Cloud Shell

Neste codelab, você vai usar o Cloud Shell, um ambiente virtualizado sem custo financeiro executado no Google Cloud. No Console do GCP, clique no ícone do Cloud Shell na barra de ferramentas localizada no canto superior direito:

O provisionamento e a conexão com o ambiente levarão apenas alguns instantes para serem concluídos: Quando o processamento for concluído, você verá algo como:

Essa máquina virtual contém todas as ferramentas de desenvolvimento necessárias. Ela oferece um diretório principal permanente de 5 GB, além de ser executada no Google Cloud, o que aprimora o desempenho e a autenticação da rede. A menos que seja instruído de outra forma, execute todos os comandos nesse shell.

3. Ativar o serviço do Cloud KMS

Antes de usar o Cloud KMS, é preciso ativar o serviço no seu projeto. Isso só precisa ser feito uma vez por projeto. Para ativar o serviço do Cloud KMS, execute o seguinte comando:

$ gcloud services enable cloudkms.googleapis.com \
    --project "${GOOGLE_CLOUD_PROJECT}"

Isso pode levar até um minuto. O comando vai informar se a operação foi concluída.

4. Criar chave do KMS

Crie um keyring do Cloud KMS. No Cloud KMS, um keyring é uma coleção lógica de chaves criptográficas. O keyring contém metadados sobre as chaves, como a localização delas. Crie um keyring chamado my-keyring na região global:

$ gcloud kms keyrings create "my-keyring" \
    --location "global"

Já existe

Se você já fez este ou outros tutoriais do Cloud KMS, talvez apareça um erro informando que "my-keyring" já existe. Ignore esse erro e continue para a próxima etapa, já que você criou o Key Ring.

Agora crie uma chave de criptografia chamada my-asymmetric-encryption-key com a finalidade asymmetric-encryption dentro do keyring que você acabou de criar.

$ gcloud kms keys create "my-asymmetric-encryption-key" \
    --location "global" \
    --keyring "my-keyring" \
    --purpose "asymmetric-encryption" \
    --default-algorithm "rsa-decrypt-oaep-4096-sha512"

Chaves assimétricas

Este tutorial usa chaves de criptografia assimétricas. Com chaves assimétricas, o Cloud KMS gera uma chave pública e uma chave privada. A chave pública é disponibilizada pela API, mas a chave privada nunca é divulgada. O Cloud KMS também é compatível com chaves simétricas, que usam a mesma chave para criptografia e descriptografia.

5. Criptografar dados

Com chaves assimétricas, o Cloud KMS não realiza a criptografia. Em vez disso, ele fornece acesso a uma chave pública, e você criptografa os dados usando essa chave com a criptografia de chave pública. Com chaves assimétricas, a criptografia pode ser feita completamente off-line e não exige acesso ao Cloud KMS nem a outras APIs do Cloud. A criptografia é realizada usando uma ferramenta criptográfica, como openssl, ou com uma linguagem de programação ou biblioteca que ofereça suporte à criptografia de chave pública.

Faça o download da chave pública do Cloud KMS:

$ gcloud kms keys versions get-public-key "1" \
    --location "global" \
    --keyring "my-keyring" \
    --key "my-asymmetric-encryption-key" \
    --output-file ./key.pub

Crie um arquivo com os dados a serem criptografados e use a ferramenta de linha de comando openssl para criptografar os dados no arquivo:

$ echo "my-contents" > ./data.txt

$ openssl pkeyutl -encrypt -pubin \
    -in ./data.txt \
    -inkey ./key.pub \
    -pkeyopt "rsa_padding_mode:oaep" \
    -pkeyopt "rsa_oaep_md:sha512" \
    -pkeyopt "rsa_mgf1_md:sha512" > ./data.txt.enc

Os dados criptografados (também conhecidos como "texto cifrado") serão salvos em data.txt.enc no disco. Se você abrir o arquivo data.txt.enc, vai notar que ele tem caracteres estranhos e não imprimíveis. Isso acontece porque os dados resultantes estão em formato binário.

Ao armazenar o texto criptografado em um banco de dados ou transmiti-lo como parte de uma solicitação HTTP, talvez seja necessário codificar os dados. O mecanismo de codificação mais comum para texto criptografado é o Base64.

O Cloud KMS não armazena nenhum texto simples fornecido. Salve esse texto criptografado em um local seguro, porque ele será necessário para recuperar o valor de texto simples.

Algoritmos de correspondência

O algoritmo escolhido na criação da chave precisa corresponder ao usado durante a criptografia. Neste tutorial, criamos uma chave que usa SHA512. Portanto, a etapa de criptografia inclui os mesmos parâmetros. Se você criou uma chave com um algoritmo ou padding diferente, ajuste a etapa de criptografia para corresponder.

6. Descriptografar dados

Ao contrário da criptografia, a descriptografia de dados criptografados com uma chave assimétrica do Cloud KMS exige acesso on-line ao serviço do Cloud KMS. Descriptografe o texto cifrado do arquivo usando a ferramenta de linha de comando gcloud:

$ gcloud kms asymmetric-decrypt \


    --location "global" \
    --keyring "my-keyring" \
    --key "my-asymmetric-encryption-key" \
    --version "1" \
    --plaintext-file - \
    --ciphertext-file ./data.txt.enc

A ferramenta de linha de comando gcloud lê o texto criptografado do arquivo e o descriptografa usando o Cloud KMS. Neste exemplo, o argumento --plaintext-file é especificado como -. Isso instrui o gcloud a imprimir o resultado no terminal.

O console vai imprimir my-contents, que é o mesmo valor de texto simples do arquivo acima.

7. Parabéns!

Você ativou a API Cloud KMS, criou uma chave de criptografia assimétrica e criptografou e descriptografou dados. O Cloud KMS é um produto eficiente, e a criptografia/descriptografia é apenas uma pequena parte dos recursos dele.

Limpeza

Se você já terminou de explorar, considere excluir o projeto.

• Acesse o Console do Cloud Platform.
• Selecione o projeto que você quer desligar e clique em "Excluir" na parte de cima. Isso programa a exclusão do projeto.

Saiba mais

• Cloud KMS

Licença

Este conteúdo está sob a licença Atribuição 2.0 Genérica da Creative Commons.