Criar um serviço de chaves personalizado para usar a criptografia do lado do cliente

É possível usar suas próprias chaves para criptografar os dados da organização, em vez da criptografia fornecida pelo Google Workspace. Com a criptografia do lado do cliente (CSE) do Google Workspace, a criptografia de arquivos é processada no navegador do cliente antes de ser armazenada no armazenamento baseado na nuvem do Drive. Dessa forma, os servidores do Google não podem acessar suas chaves de criptografia e, portanto, não podem descriptografar seus dados. Saiba mais em Sobre a criptografia do lado do cliente.

Essa API permite controlar as chaves de criptografia de nível superior que protegem seus dados com um serviço de chave externo personalizado. Depois de criar um serviço de chaves externo com essa API, os administradores do Google Workspace poderão se conectar a ele e ativar a CSE para os usuários.

Terminologia importante

Confira abaixo uma lista de termos comuns usados na API Client Side Encryption do Google Workspace:

Criptografia do lado do cliente (CSE)
Criptografia processada no navegador do cliente antes de ser armazenada no armazenamento baseado na nuvem. Isso protege o arquivo de ser lido pelo provedor de armazenamento. Saiba mais
Serviço de lista de controle de acesso às chaves (KACLS, na sigla em inglês)
Seu serviço de chaves externo que usa essa API para controlar o acesso a chaves de criptografia armazenadas em um sistema externo.
Provedor de identidade (IdP)
O serviço que autentica os usuários antes de eles criptografarem arquivos ou acessarem arquivos criptografados.

Criptografia e descriptografia

Chave de criptografia de dados (DEK)
A chave usada pelo Google Workspace no cliente do navegador para criptografar os dados em si.
Chave de criptografia de chave (KEK)
Uma chave do seu serviço usada para criptografar uma chave de criptografia de dados (DEK).

Controle de acesso

Lista de controle de acesso (ACL)
Uma lista de usuários ou grupos que podem abrir ou ler um arquivo.
JSON Web Token (JWT) de autenticação
Token de portador (JWT: RFC 7516) emitido pelo parceiro de identidade (IdP) para atestar a identidade de um usuário.
Autorização JSON Web Token (JWT)
Token de portador (JWT: RFC 7516) emitido pelo Google para verificar se o autor da chamada está autorizado a criptografar ou descriptografar um recurso.
Conjunto de chaves da Web JSON (JWKS, na sigla em inglês)
Um URL de endpoint somente leitura que aponta para uma lista de chaves públicas usadas para verificar JSON Web Tokens (JWTs).
Perímetro
Verificações adicionais realizadas nos tokens de autenticação e autorização nos KACLS para controle de acesso.

Processo de criptografia do lado do cliente

Depois que um administrador ativa a CSE para a organização, os usuários com a CSE ativada podem criar documentos criptografados usando as ferramentas de criação de conteúdo colaborativo do Google Workspace, como Documentos e Planilhas, ou criptografar arquivos enviados para o Google Drive, como PDFs.

Depois que o usuário criptografa um documento ou arquivo:

  1. O Google Workspace gera uma DEK no navegador do cliente para criptografar o conteúdo.

  2. O Google Workspace envia os tokens de autenticação e DEK para as KACLS de terceiros para criptografia, usando um URL fornecido ao administrador da organização do Google Workspace.

  3. O KACLS usa essa API para criptografar a DEK e, em seguida, envia a DEK criptografada e ofuscada de volta ao Google Workspace.

  4. O Google Workspace armazena os dados criptografados e ofuscados na nuvem. Somente os usuários com acesso às suas KACLS podem acessar os dados.

Para mais detalhes, consulte Criptografar e descriptografar arquivos.

Próximas etapas