lgpd-encryption-keys

Encryption & Key Management

Art. 46 LGPD + Guia de Segurança da Informação para ATPP (ANPD, 2021).

Camadas

1. Em trânsito

• TLS 1.3 em toda comunicação (cliente ↔ servidor, serviço ↔ serviço)
• HSTS habilitado (max-age=31536000; includeSubDomains; preload)
• Certificate pinning em apps mobile (React Native — react-native-ssl-pinning ou equivalente)
• mTLS para comunicação entre serviços internos quando viável

2. Em repouso

• TDE (Transparent Data Encryption) no PostgreSQL — habilitado pelo provider (AWS RDS, GCP Cloud SQL)
• Volume encryption (EBS, persistent disks) — geralmente padrão hoje
• Backups criptografados — mesma chave do volume, ou KMS dedicado
• Storage de arquivos (S3, GCS): server-side encryption (SSE-KMS preferível a SSE-S3)

3. Nível de aplicação (campos sensíveis)

Para CPF, biometria, dados de saúde, tokens de auth — criptografia adicional em coluna:

// lib/crypto/field-encryption.ts
import { createCipheriv, createDecipheriv, randomBytes } from "crypto";

const KEY = await loadKeyFromKMS(); // 32 bytes

export function encryptField(plain: string): string {
  const iv = randomBytes(12);
  const cipher = createCipheriv("aes-256-gcm", KEY, iv);
  const enc = Buffer.concat([cipher.update(plain, "utf8"), cipher.final()]);
  const tag = cipher.getAuthTag();
  return Buffer.concat([iv, tag, enc]).toString("base64");
}

export function decryptField(encoded: string): string {
  const buf = Buffer.from(encoded, "base64");
  const iv = buf.subarray(0, 12);
  const tag = buf.subarray(12, 28);
  const enc = buf.subarray(28);
  const decipher = createDecipheriv("aes-256-gcm", KEY, iv);
  decipher.setAuthTag(tag);
  return Buffer.concat([decipher.update(enc), decipher.final()]).toString("utf8");
}

Prisma extension para criptografia transparente:

const prisma = new PrismaClient().$extends({
  query: {
    user: {
      async create({ args, query }) {
        if (args.data.cpf) args.data.cpf = encryptField(args.data.cpf);
        return query(args);
      },
      async findUnique({ args, query }) {
        const r = await query(args);
        if (r?.cpf) r.cpf = decryptField(r.cpf);
        return r;
      }
    }
  }
});