encryption - 有关于实时 Azure Blob 加密/解密的教育资源吗？

Question

我们有一个场景，我们存储其中包含敏感信息的扫描文档(假设现在是社会安全号码)。对于我们来说，没有任何法规要求这样做(没有 HIPAA 或类似的规定)，因此我们没有强制跨越的障碍，只是我们希望遵循的常识性最佳实践。

我一直在寻找一些已发表的文章、博客文章等来帮助我设计和构建这样的系统，但似乎没有很多关于这个主题的资源。我确实找到了一个是 Using Certificate-Based Encryption in Windows Azure Applications这很好地涵盖了低级加密方面的内容。但是，系统的其余部分呢？我们需要集成/实现一个从上传到存储再到通过(最终)网络应用程序下载的端到端解决方案。我不一定需要全部回答的一些想法/问题，但可以帮助表明我需要帮助和指导的地方:

1. 我怀疑我需要使用一些网络角色作为“文件处理程序”来执行这种动态加密/解密，因为(我假设)没有内置功能来为我执行此类任务。
2. 我是否应该真正执行即时加密/解密，即使用此网络应用程序动态托管文件(即我所强调的非常内存密集型过程)，或者我应该解密并存储(在另一个 blob 中)临时文件未加密的文件以允许 Azure Blob 存储为我托管该文件(也许是 20 分钟的 SharedAccessPolicy)并在 20 分钟后删除该文件？ (也许调整这个取决于它需要存在多长时间才能通过较慢的连接成功下载)(我真的不喜欢放置未加密文件的临时副本的想法)
3. 还有其他我应该考虑的主要问题吗？我们可能会相当密切地关注该证书文章，这样我们就不会在单层安全被破坏后留下解密 secret ，但是我们还应该为此考虑哪些其他特定于 Azure 的事情？
4. Azure 是否有任何内置功能可以帮助我们进行此类操作？有什么方法可以利用 SharedAccessPolicies 或其他东西吗？ (我不这么认为)

非常感谢，对于这是一个有点模糊的问题，我深表歉意。它很模糊，因为我正在寻求资源来帮助教育我知道要问哪些更具体的问题(或者教育我一些我不知道存在的事情)。

Answer 1

1. 假设这是一个基于浏览器的应用程序，那么是的 - 您将需要一个网络角色来处理加密/解密。如果您使用的是富客户端，则可能可以在存储之前/检索之后处理它。

2. 您是否可以/应该预见下载要求并预解密是您的要求/容忍度的问题，但如果信息敏感，我同意即时解密更有意义。

3. 显然，您需要考虑网络角色的身份验证/授权，以确保您只向有效的请求者提供文档。另外 - 正如您所承认的 - 保护证书是关键(无意押注)

4. 不确定您还想得到什么，因为这个故事并不是真正的 Azure 故事，而是 .net/security 故事，而非对称加密是解决此类问题的一种经过充分验证的途径.