Criptografia de campo e consultabilidade

Visão geral

Saiba mais sobre os seguintes tópicos sobre criptografia consultável:

• Considerações ao habilitar queries em um campo criptografado.

• Como especificar campos para criptografia.

• Como configurar um campo criptografado para que seja consultável.

• Tipos de query e quais você pode usar em campos criptografados.

• Como otimizar o desempenho da query em campos criptografados.

Considerações ao ativar a query

Ao usar a Criptografia Consultável, você pode escolher se deseja tornar um campo criptografado consultável. Se você não precisar executar operações CRUD que exijam que você consulte um campo criptografado, talvez não seja necessário habilitar a query nesse campo. Você ainda pode recuperar o documento inteiro consultando outros campos que podem ser consultados ou não criptografados.

Quando você torna os campos criptografados consultáveis, o Queryable Encryption cria um índice para cada campo criptografado, o que pode tornar as operações de gravação nesse campo mais demoradas. Quando uma operação de gravação atualiza um campo indexado, MongoDB também atualiza o índice relacionado.

Quando você cria uma coleção criptografada, o MongoDB cria duas coleções de metadados, aumentando os requisitos de espaço de armazenamento.

Especifique campos para criptografia

Com o Queryable Encryption, você especifica quais campos deseja criptografar automaticamente em seu documento MongoDB usando um esquema de criptografia JSON. O esquema de criptografia define quais campos são criptografados e quais queries estão disponíveis para esses campos.

Para especificar campos para criptografia e query, crie um esquema de criptografia que inclua as seguintes propriedades:

{
   "firstName": "Jon",
   "lastName": "Snow",
   "patientId": 12345187,
   "address": "123 Cherry Ave",
   "medications": [
      "Adderall",
      "Lipitor"
   ],
   "patientInfo": {
      "ssn": "921-12-1234",
      "billing": {
            "type": "visa",
            "number": "1234-1234-1234-1234"
      }
   }
}

const encryptedFieldsObject = {
   fields: [
      {
         path: "patientId",
         keyId: "<unique data encryption key>",
         bsonType: "int"
      },
      {
         path: "patientInfo.ssn",
         keyId: "<unique data encryption key>",
         bsonType: "string"
      },
      {
         path: "medications",
         keyId: "<unique data encryption key>",
         bsonType: "array"
      },
      {
         path: "patientInfo.billing",
         keyId: "<unique data encryption key>",
         bsonType: "object"
      }
   ]
}

Configurar campos para queries

Inclua a propriedade queries em campos para torná-los consultáveis. Isso permite que um cliente autorizado emita queries de leitura e escrita nesses campos. A omissão da propriedade queries impede que os clientes consultem um campo.

const encryptedFieldsObject = {
   fields: [
      {
         path: "patientId",
         bsonType: "int",
         queries: { queryType: "equality" }
      },
      {
         path: "patientInfo.ssn",
         bsonType: "string",
         queries: { queryType: "equality" }
      },
      {
         path: "medications",
         bsonType: "array"
      },
      {
         path: "patientInfo.billing",
         bsonType: "object"
      },
   ]
}

Contenção

Operações de gravação simultâneas, como inserir o mesmo par de campo/valor em vários documentos em sucessão próxima, podem causar contenção: conflitos que atrasam as operações.

Com o Queryable Encryption, o MongoDB rastreia as ocorrências de cada par de campo/valor em uma coleção criptografada usando um contador interno. O fator de contenção particiona esse contador, semelhante a uma array. Isto minimiza problemas ao incrementar o contador ao utilizar insert, update ou findAndModify para adicionar ou modificar um campo codificado com o mesmo par de campo/valor em sucessão próxima. contention = 0 cria uma array com um elemento no índice 0. contention = 4 cria uma array com elementos 5 nos índices 0-4. O MongoDB incrementa um elemento de array aleatório durante a inserção.

Ao não ser definido, o contention padroniza para 8, que fornece alto desempenho para a maioria das cargas de trabalho. Uma contenção mais alta melhora o desempenho das operações de inserção e atualização em campos de baixa cardinalidade, no entanto, reduz o desempenho da procuras.

Esquemas de cliente e servidor

O MongoDB suporta o uso da validação de esquema para impor a criptografia de campos específicos em uma coleção. Clientes que usam criptografia automática consultável têm um comportamento específico dependendo da configuração da conexão com o banco de dados:

• Se o objeto de conexão encryptedFieldsMap contiver uma chave para a coleção especificada, o cliente utilizará esse objeto para executar a Queryable Encryption automática, ao invés de utilizar o esquema remoto. No mínimo, as regras locais devem criptografar os campos que o esquema remoto marca como exigindo criptografia.

• Se o objeto de conexão encryptedFieldsMap não contiver uma chave para a coleção especificada, o cliente baixará o esquema remoto do lado do servidor para a coleção e o usará para executar a Queryable Encryption automática.

  Importante

  Considerações de comportamento

  Quando um cliente não tem um esquema de criptografia para a coleção especificada, ocorre o seguinte:

  • O cliente confia que o servidor tem um esquema válido com relação à criptografia automática consultável.

  • O cliente usa o esquema remoto apenas para executar uma Queryable Encryption automática. O cliente não força nenhuma outra regra de validação especificada no esquema.

Para saber mais sobre o Queryable Encryption automático, consulte os seguintes recursos:

• Introdução à Queryable Encryption

• Início rápido

Habilitar queryable encryption

Queryable Encryption antes de criar uma coleção. A ativação da criptografia consultável após a criação de uma coleção não criptografa campos em documentos que já estão nessa coleção. Você pode ativar a Queryable Encryption em campos de duas maneiras:

• Passe o esquema de criptografia, representado pela constante do encryptedFieldsObject, para o cliente que o aplicativo usa para criar a coleção:

const client = new MongoClient(uri, {
   autoEncryption: {
      keyVaultNameSpace: "<your keyvault namespace>",
      kmsProviders: "<your kms provider>",
      extraOptions: {
         cryptSharedLibPath: "<path to Automatic Encryption Shared Library>"
      },
      encryptedFieldsMap: {
         "<databaseName.collectionName>": { encryptedFieldsObject }
      }
   }
   ...
   await client.db("<database name>").createCollection("<collection name>");
}

Para obter mais informações sobre as opções de configuração autoEncryption, consulte a seção sobre MongoClient Options for Queryable Encryption.

• Passe o objeto de campos criptografados para createCollection() para criar uma nova coleção

await encryptedDB.createCollection("<collection name>", {
   encryptedFields: encryptedFieldsObject
});