Criptografia no armazenamento de dados - Parte 2: como usar criptografia simétrica e assimétrica na prática

Parte 2 de 3 – Aplicação prática

Na Parte 1 desta série, falamos sobre o contexto, os conceitos básicos de criptografia e onde ela aparece no armazenamento de dados. Agora, vamos entrar na prática: como usar criptografia simétrica e assimétrica em dados em repouso de forma estratégica.

1. Quando usar criptografia simétrica em dados em repouso

A criptografia simétrica é a escolha natural para proteger grandes volumes de dados no dia a dia, porque oferece boa segurança com excelente desempenho. Alguns cenários típicos:

• Criptografia de discos e volumes: servidores de banco, servidores de aplicação, estações de trabalho com dados sensíveis;
• Criptografia transparente de dados em bancos (TDE);
• Proteção de arquivos, relatórios e backups armazenados localmente ou em nuvem;
• Criptografia de campos específicos em tabelas, como documentos pessoais, dados financeiros ou segredos de negócio.

Em praticamente todos esses casos, algoritmos como AES com chaves de 128 ou 256 bits, em modos modernos (como GCM), são considerados padrão de mercado.

2. Exemplo conceitual: criptografando campos sensíveis no banco de dados

Imagine uma tabela de clientes com os seguintes campos:

• id
• nome
• email
• cpf
• telefone

Seu objetivo é reduzir o impacto de um vazamento protegendo cpf e telefone. Uma abordagem comum seria:

1. Chave dedicada: a aplicação obtém de um cofre de segredos uma chave simétrica específica para dados pessoais;
2. Antes de gravar:
   • recebe o CPF em texto claro;
   • cifra o valor com a chave simétrica, usando um modo autenticado (por exemplo, AES-GCM);
   • armazena o resultado cifrado (por exemplo, codificado em Base64) no campo cpf;
3. Na leitura:
   • busca o valor cifrado no banco;
   • recupera a chave simétrica com as permissões adequadas;
   • decifra o campo na aplicação e só então exibe o dado para usuários autorizados.

Assim, o CPF aparece em texto claro apenas por alguns instantes em memória no backend, reduzindo a exposição e o impacto em caso de acesso indevido ao banco de dados.

2.1 Pontos de atenção na criptografia simétrica

• Não reinventar a roda: use bibliotecas consolidadas em vez de tentar criar seu próprio algoritmo;
• IVs (vetores de inicialização): evite reutilizar IVs em modos que exigem unicidade (como GCM e CTR);
• Planejar consultas: se você precisa buscar registros por CPF, por exemplo, usar criptografia direta pode dificultar indexação e pesquisa. Uma alternativa é combinar hash + sal para pesquisas exatas e criptografia para o armazenamento;
• Gestão de chaves: a segurança da solução depende diretamente de como a chave é guardada e usada – tema central da Parte 3.

3. O papel da criptografia assimétrica no armazenamento de dados

Criptografia assimétrica não é usada, em geral, para cifrar grandes volumes de dados em repouso, porque é mais pesada. Mas ela é crucial em dois papéis estratégicos:

3.1 Proteção de chaves simétricas (envelope encryption)

Um padrão amplamente adotado é o de envelope encryption:

1. Os dados são cifrados com uma chave simétrica de dados (data key);
2. Essa data key é, por sua vez, cifrada com a chave pública de um par assimétrico;
3. A chave privada correspondente fica extremamente protegida, por exemplo em um KMS (Key Management Service) ou HSM;
4. Quando a aplicação precisa acessar os dados:
   • envia a data key cifrada para o serviço seguro;
   • o serviço decifra a data key usando a chave privada;
   • a aplicação usa a data key em memória para decifrar os dados e descarta a chave logo em seguida.

Com isso, mesmo que alguém copie o banco de dados e os arquivos associados, ainda não terá a chave privada usada para desbloquear as data keys.

3.2 Assinaturas digitais em logs e backups

Outro uso importante da criptografia assimétrica é a assinatura digital de artefatos críticos, como:

• Backups de bases de dados;
• Logs de auditoria e trilhas de acesso;
• Arquivos sensíveis trocados entre sistemas.

Ao assinar esses dados, você consegue verificar se houve alteração indevida. Isso é especialmente útil em auditorias, investigações de incidentes de segurança e comprovação de integridade para órgãos reguladores.

4. Combinando criptografia simétrica e assimétrica na mesma arquitetura

A verdadeira força da criptografia em armazenamento aparece quando você combina as duas abordagens. Um desenho típico é:

1. Dados em repouso (discos, bancos, arquivos, backups) cifrados com chaves simétricas;
2. Essas chaves simétricas:
   • são protegidas por uma infraestrutura assimétrica (KMS/HSM/PKI);
   • têm escopo bem definido (por ambiente, sistema ou tipo de dado);
   • são rotacionadas periodicamente.
3. O uso das chaves é controlado e auditado:
   • Quem pode solicitar a descriptografia;
   • De onde, quando e em qual contexto;
   • Com registros detalhados de cada operação.

Esse modelo é o que você encontra, por exemplo, em grandes provedores de nuvem e em arquiteturas corporativas mais maduras.

5. Encerrando a Parte 2: o que vem a seguir?

Nesta segunda parte, vimos como aplicar criptografia simétrica e assimétrica em dados em repouso de forma prática, com exemplos e um desenho de arquitetura combinando as duas abordagens.

Na Parte 3, vamos tratar do ponto crítico que sustenta tudo isso: gestão de chaves, boas práticas de governança, conexão com LGPD/GDPR e um checklist para você começar ou evoluir sua estratégia de criptografia.