אתם יכולים להשתמש במפתחות הצפנה משלכם כדי להצפין את נתוני הארגון, במקום להשתמש בהצפנה ש-Google Workspace מספקת. בעזרת הצפנה מצד הלקוח (CSE) ב-Google Workspace, הצפנת הקבצים מתבצעת בדפדפן של הלקוח לפני שהם מאוחסנים באחסון מבוסס-הענן של Google Drive. כך, לשרתים של Google אין גישה למפתחות ההצפנה שלכם, ולכן הם לא יכולים לפענח את הנתונים. פרטים נוספים מופיעים במאמר בנושא מידע על הצפנה מצד הלקוח.
ממשק ה-API הזה מאפשר לכם לשלוט במפתחות ההצפנה ברמה העליונה שמגנים על הנתונים שלכם באמצעות שירות חיצוני מותאם אישית למפתחות הצפנה. אחרי שיוצרים שירות למפתחות הצפנה חיצוני באמצעות ה-API הזה, אדמינים ב-Google Workspace יכולים להתחבר אליו ולהפעיל CSE עבור המשתמשים שלהם.
מונחים חשובים
בהמשך מופיעה רשימה של מונחים נפוצים שמשמשים ב-Google Workspace Client-side Encryption API:
- הצפנה מצד הלקוח (CSE)
- הצפנה שמטופלת בדפדפן של הלקוח לפני שהיא מאוחסנת באחסון מבוסס-ענן. כך הקובץ מוגן מפני קריאה על ידי ספק האחסון. מידע נוסף
- Key Access Control List Service (KACLS)
- שירות המפתחות החיצוני שמשתמש ב-API הזה כדי לשלוט בגישה למפתחות הצפנה שמאוחסנים במערכת חיצונית.
- ספק זהויות (IdP)
- השירות שמאמת את המשתמשים לפני שהם יכולים להצפין קבצים או לגשת לקבצים מוצפנים.
הצפנה ופענוח
- מפתח להצפנת נתונים (DEK)
- המפתח שבו Google Workspace משתמש בדפדפן הלקוח כדי להצפין את הנתונים עצמם.
- מפתח להצפנת מפתחות הצפנה (KEK)
- מפתח מהשירות שלכם שמשמש להצפנה של מפתח להצפנת נתונים (DEK).
בקרת גישה
- רשימה של בקרת גישה (ACL)
- רשימה של משתמשים או קבוצות שיכולים לפתוח או לקרוא קובץ.
- אסימון אינטרנט מסוג JSON (JWT) לאימות
- אסימון למוכ"ז (JWT: RFC 7519) שהונפק על ידי ספק הזהויות (IdP) כדי לאמת את זהות המשתמש.
- טוקן רשת מבוסס JSON (JWT) להרשאה
- טוקן מסוג Bearer (JWT: RFC 7519) שהונפק על ידי Google כדי לאמת שהמתקשר מורשה להצפין או לפענח משאב.
- קבוצת מפתחות JWK (JSON Web Key Set)
- כתובת URL של נקודת קצה לקריאה בלבד שמפנה לרשימה של מפתחות ציבוריים שמשמשים לאימות של JSON Web Tokens (JWT).
- גבולות גזרה
- בדיקות נוספות שמבוצעות באסימוני האימות וההרשאה בתוך KACLS לצורך בקרת גישה.
תהליך ההצפנה בצד הלקוח
אחרי שאדמין מפעיל הצפנה מצד הלקוח בארגון, משתמשים שההצפנה הופעלה עבורם יכולים ליצור מסמכים מוצפנים באמצעות כלי Google Workspace לשיתוף פעולה ביצירת תוכן, כמו Docs ו-Sheets, או להצפין קבצים שהם מעלים ל-Drive, כמו קובצי PDF.
אחרי שהמשתמש מצפין מסמך או קובץ:
Google Workspace יוצר מפתח הצפנה (DEK) בדפדפן של הלקוח כדי להצפין את התוכן.
Google Workspace שולח את מפתח ה-DEK ואת אסימוני האימות ל-KACLS של צד שלישי לצורך הצפנה, באמצעות כתובת URL שאתם מספקים לאדמין של הארגון ב-Google Workspace.
ה-KACLS משתמש ב-API הזה כדי להצפין את ה-DEK, ואז שולח את ה-DEK המוצפן והמטושטש בחזרה ל-Google Workspace.
Google Workspace מאחסן את הנתונים המוצפנים והמוסווים בענן. רק משתמשים שיש להם גישה לרשימות בקרת הגישה של KACLS יכולים לגשת לנתונים.
פרטים נוספים זמינים במאמר בנושא הצפנה ופענוח של קבצים.