Criptografia no armazenamento de dados – Parte 2: como usar criptografia simétrica e assimétrica na prática

Parte 2 de 3 – Aplicação prática

Na Parte 1 desta série, falámos sobre o contexto, os conceitos básicos de criptografia e onde ela aparece no armazenamento de dados. Agora, vamos entrar na prática: como usar criptografia simétrica e assimétrica em dados em repouso de forma estratégica.

1. Quando usar criptografia simétrica em dados em repouso

A criptografia simétrica é a escolha natural para proteger grandes volumes de dados no dia a dia, porque oferece boa segurança com excelente desempenho. Alguns cenários típicos:

• Criptografia de discos e volumes: servidores de base de dados, servidores de aplicação, estações de trabalho com dados sensíveis;
• Criptografia transparente de dados em bases (TDE);
• Proteção de ficheiros, relatórios e backups armazenados localmente ou na nuvem;
• Criptografia de campos específicos em tabelas, como documentos pessoais, dados financeiros ou segredos de negócio.

Em praticamente todos estes casos, algoritmos como AES com chaves de 128 ou 256 bits, em modos modernos (como GCM), são considerados padrão de mercado.

2. Exemplo conceptual: criptografar campos sensíveis na base de dados

Imagine uma tabela de clientes com os seguintes campos:

• id
• nome
• email
• nif
• telefone

O seu objetivo é reduzir o impacto de um vazamento protegendo nif e telefone. Uma abordagem comum seria:

1. Chave dedicada: a aplicação obtém de um cofre de segredos uma chave simétrica específica para dados pessoais;
2. Antes de gravar:
   • recebe o NIF em texto claro;
   • cifra o valor com a chave simétrica, usando um modo autenticado (por exemplo, AES-GCM);
   • armazena o resultado cifrado (por exemplo, em Base64) no campo nif;
3. Na leitura:
   • vai buscar o valor cifrado à base de dados;
   • recupera a chave simétrica com as permissões adequadas;
   • decifra o campo na aplicação e só depois apresenta o dado a utilizadores autorizados.

Assim, o NIF aparece em texto claro apenas por alguns instantes em memória no backend, reduzindo a exposição e o impacto em caso de acesso indevido à base de dados.

2.1 Pontos de atenção na criptografia simétrica

• Não reinventar a roda: use bibliotecas consolidadas em vez de tentar criar o seu próprio algoritmo;
• IVs (vetores de inicialização): evite reutilizar IVs em modos que exigem unicidade (como GCM e CTR);
• Planear consultas: se precisa de procurar registos por NIF, por exemplo, usar criptografia direta pode dificultar indexação e pesquisa. Uma alternativa é combinar hash + sal para pesquisas exatas e criptografia para o armazenamento;
• Gestão de chaves: a segurança da solução depende diretamente de como a chave é guardada e usada – tema central da Parte 3.

3. O papel da criptografia assimétrica no armazenamento de dados

A criptografia assimétrica não é usada, em geral, para cifrar grandes volumes de dados em repouso, porque é mais pesada. Mas é crucial em dois papéis estratégicos:

3.1 Proteção de chaves simétricas (envelope encryption)

Um padrão amplamente adotado é o de envelope encryption:

1. Os dados são cifrados com uma chave simétrica de dados (data key);
2. Essa data key é, por sua vez, cifrada com a chave pública de um par assimétrico;
3. A chave privada correspondente fica extremamente protegida, por exemplo num KMS (Key Management Service) ou HSM;
4. Quando a aplicação precisa de aceder aos dados:
   • envia a data key cifrada para o serviço seguro;
   • o serviço decifra a data key usando a chave privada;
   • a aplicação usa a data key em memória para decifrar os dados e descarta a chave logo em seguida.

Assim, mesmo que alguém copie a base de dados e os ficheiros associados, ainda não terá a chave privada usada para desbloquear as data keys.

3.2 Assinaturas digitais em logs e backups

Outro uso importante da criptografia assimétrica é a assinatura digital de artefactos críticos, como:

• backups de bases de dados;
• logs de auditoria e trilhas de acesso;
• ficheiros sensíveis trocados entre sistemas.

Ao assinar estes dados, consegue verificar se houve alteração indevida. Isto é especialmente útil em auditorias, investigações de incidentes de segurança e comprovação de integridade para reguladores.

4. Combinando criptografia simétrica e assimétrica na mesma arquitetura

A verdadeira força da criptografia em armazenamento aparece quando se combinam as duas abordagens. Um desenho típico é:

1. Dados em repouso (discos, bases, ficheiros, backups) cifrados com chaves simétricas;
2. Essas chaves simétricas:
   • são protegidas por uma infraestrutura assimétrica (KMS/HSM/PKI);
   • têm escopo bem definido (por ambiente, sistema ou tipo de dado);
   • são rotacionadas periodicamente.
3. O uso das chaves é controlado e auditado:
   • quem pode solicitar a desencriptação;
   • de onde, quando e em que contexto;
   • com registos detalhados de cada operação.

Este modelo é o que encontra, por exemplo, em grandes provedores de nuvem e em arquiteturas corporativas mais maduras.

5. Encerrando a Parte 2: o que vem a seguir?

Nesta segunda parte, vimos como aplicar criptografia simétrica e assimétrica em dados em repouso de forma prática, com exemplos e um desenho de arquitetura que combina as duas abordagens.

Na Parte 3, vamos tratar do ponto crítico que sustenta tudo isto: gestão de chaves, boas práticas de governação, ligação com LGPD/GDPR e um checklist para começar ou evoluir a sua estratégia de criptografia.