Crittografia del servizio di archiviazione di Azure per dati inattivi

Archiviazione di Azure usa la crittografia lato servizio (SSE) per crittografare automaticamente i dati quando vengono salvati in modo permanente nel cloud. Archiviazione di Azure crittografia protegge i dati e consente di soddisfare gli impegni di sicurezza e conformità dell'organizzazione.

Microsoft consiglia di usare la crittografia lato servizio per proteggere i dati per la maggior parte degli scenari. Tuttavia, le librerie client di Archiviazione di Azure per l'Archiviazione BLOB e l'Archiviazione code forniscono anche la crittografia lato client per i clienti che necessitano di crittografare i dati lato client. Per altre informazioni, vedere Crittografia lato client per BLOB e code.

Informazioni sulla crittografia lato server di Archiviazione di Azure

I dati in Archiviazione di Azure vengono crittografati e decrittografati in modo trasparente usando la crittografia a 256 bit AES, una delle crittografie a blocchi più complesse disponibili ed è conforme a FIPS 140-2. Archiviazione di Azure crittografia è simile alla crittografia BitLocker in Windows.

Archiviazione di Azure utilizza la crittografia lato server con modalità AES Galois/Counter a 256 bit (AES-GCM) per crittografare gli oggetti caricati. Archiviazione di Azure crittografia è abilitata per tutti gli account di archiviazione, inclusi Resource Manager e gli account di archiviazione classici. Archiviazione di Azure la crittografia non può essere disabilitata. Poiché i dati sono protetti per impostazione predefinita, non è necessario modificare il codice o le applicazioni per sfruttare Archiviazione di Azure crittografia.

I dati in un account di archiviazione vengono crittografati indipendentemente dal livello di prestazioni (Standard o Premium), dal livello di accesso (ad accesso frequente o sporadico) o dal modello di distribuzione (Azure Resource Manager o versione classica). Tutti i BLOB di blocchi, i BLOB di accodamento e i BLOB di pagine, nuovi ed esistenti, vengono crittografati, inclusi i BLOB nel livello archivio. Tutte le opzioni di ridondanza Archiviazione di Azure supportano la crittografia e tutti i dati nelle aree primarie e secondarie vengono crittografati quando la replica geografica è abilitata. Tutte le risorse di Archiviazione di Azure vengono crittografate, inclusi blob, dischi, file, code e tabelle. Vengono crittografati anche tutti i metadati degli oggetti.

Non sono previsti costi aggiuntivi per la crittografia Archiviazione di Azure.

Per ulteriori informazioni sui moduli crittografici che supportano la crittografia di Archiviazione di Azure, vedere Cryptography API: Next Generation.

Per informazioni sulla crittografia e sulla gestione delle chiavi per i dischi gestiti Azure, vedere Crittografia lato server dei dischi gestiti di Azure.

Informazioni sulla gestione delle chiavi di crittografia

I dati in un nuovo account di archiviazione vengono crittografati con chiavi gestite da Microsoft per impostazione predefinita. È possibile continuare a basarsi su chiavi gestite da Microsoft per la crittografia dei dati oppure gestire la crittografia con le proprie chiavi. Se si sceglie di gestire la crittografia con chiavi personali, sono disponibili due opzioni. È possibile usare uno o entrambi i tipi di gestione delle chiavi:

• È possibile specificare una chiave gestita da customer da usare per crittografare e decrittografare i dati in gestione rete virtuale di Azure e in File di Azure.¹ le chiavi gestite dal cliente devono essere archiviate in Azure Key Vault o Azure Key Vault modulo HSM (Managed Hardware Security Module). Per altre informazioni sulle chiavi gestite dal cliente, vedere Use customer-managed keys for Archiviazione di Azure encryption.
• È possibile specificare una chiave fornita da customer nelle operazioni di gestione rete virtuale di Azure. Un client che effettua una richiesta di lettura o scrittura su gestione rete virtuale di Azure può includere una chiave di crittografia nella richiesta per un controllo granulare sul modo in cui i dati BLOB vengono crittografati e decrittografati. Per altre informazioni sulle chiavi fornite dal cliente, vedere Provide una chiave di crittografia in una richiesta di gestione rete virtuale di Azure.

Per impostazione predefinita, un account di archiviazione viene crittografato con una chiave il cui ambito è impostato sull'intero account di archiviazione. Gli ambiti di crittografia consentono di gestire la crittografia con una chiave il cui ambito è impostato su un contenitore o un singolo BLOB. È possibile usare gli ambiti di crittografia per creare limiti sicuri tra dati che risiedono nello stesso account di archiviazione, ma appartengono a clienti diversi. Gli ambiti di crittografia possono usare chiavi gestite Microsoft o chiavi gestite dal cliente. Per altre informazioni sugli ambiti di crittografia, vedere Ambiti di crittografia per l'archiviazione BLOB.

Nella tabella seguente vengono confrontate le opzioni di gestione delle chiavi per Archiviazione di Azure crittografia.

¹ Per informazioni sulla creazione di un account che supporti l'uso di chiavi gestite dal cliente con l'Archiviazione code, vedere Creare un account che supporti le chiavi gestite dal cliente per le code.
² Per informazioni sulla creazione di un account che supporta l'uso di chiavi gestite dal cliente con l'archiviazione tabelle, vedere Creare un account che supporti le chiavi gestite dal cliente per le tabelle.

Crittografare i dati in modo doppio con la crittografia dell'infrastruttura

I clienti che richiedono livelli elevati di garanzia che i dati siano sicuri possono anche abilitare la crittografia AES a 256 bit a livello di infrastruttura Archiviazione di Azure. Quando la crittografia dell'infrastruttura è abilitata, i dati in un account di archiviazione vengono crittografati due volte, una volta a livello di servizio e una volta a livello di infrastruttura, con due algoritmi di crittografia diversi e due chiavi diverse. La doppia crittografia dei dati Archiviazione di Azure protegge da uno scenario in cui uno degli algoritmi o delle chiavi di crittografia può essere compromesso. In questo scenario, il livello aggiuntivo di crittografia continua a proteggere i dati.

La crittografia a livello di servizio supporta l'uso di chiavi gestite da Microsoft o chiavi gestite dal cliente con Azure Key Vault. La crittografia a livello di infrastruttura si basa su chiavi gestite Microsoft e usa sempre una chiave separata.

Per altre informazioni su come creare un account di archiviazione che abilita la crittografia dell'infrastruttura, vedere Creare un account di archiviazione con crittografia dell'infrastruttura abilitata per la doppia crittografia dei dati.

Crittografia lato client per oggetti BLOB e code

Le librerie client Archiviazione BLOB di Azure per .NET, Java e Python supportano la crittografia dei dati all'interno delle applicazioni client prima del caricamento in Archiviazione di Azure e la decrittografia dei dati durante il download nel client. Le librerie client di archiviazione code per .NET e Python supportano anche la crittografia lato client.

Le librerie client di Archiviazione BLOB e Archiviazione code usano AES per crittografare i dati utente. Nelle librerie client sono disponibili due versioni della crittografia lato client:

• La versione 2 usa la modalità Galois/Counter Mode (GCM) con AES. Gli SDK di gestione rete virtuale di Azure e Queue Storage supportano la crittografia lato client con v2.
• La versione 1 si avvale della modalità Cipher Block Chaining (CBC) con AES. Gli SDK di archiviazione BLOB, archiviazione code e Archiviazione di Tabelle supportano la crittografia lato client con v1.

La tabella seguente illustra le librerie client che supportano le versioni della crittografia lato client e fornisce linee guida per la migrazione alla crittografia lato client v2.

Passaggi successivi

• Cos'è Azure Key Vault?
• Chiavi gestite dal cliente per la crittografia di Archiviazione di Azure
• Ambiti di crittografia per gestione rete virtuale di Azure
• Provide una chiave di crittografia in una richiesta di gestione rete virtuale di Azure