录制加密密钥概述

Genesys Cloud 使用每个组织唯一的加密密钥。 这些加密密钥可保护录音免遭未经授权的访问以下信息：

  • 呼叫录音
  • 数字录音（电子邮件、聊天、消息）
  • 启用转录功能时相应录音的副本

注意： 屏幕录像在 S3 存储桶中使用服务器端加密 (SSE) 和 Amazon S3 托管加密密钥 (SSE-S3) 进行加密。

Genesys 云支持以下加密密钥管理方法：

  • Genesys 云托管密钥： Genesys Cloud 生成并存储录制加密过程使用的公共/私有 KEK 密钥对。 此方法使您能够管理 Genesys Cloud 中存在的 KEK；但是，Genesys Cloud 拥有密钥。 您无需维护 KEK 的副本。 您可以访问解密形式的录音，进行播放、下载或批量导出。
  • 本地密钥管理器 (LKM)： 您的组织实施了一项服务来生成公有/私有 KEK 密钥对并存储它们。

点击图片放大。

本地密钥管理器流程

当您使用 LKM 时，Genesys Cloud 使用相同的信封加密技术来记录加密，并将您的公钥用作 KEK。 要解密录音，首先将加密的 DEK 发送到 LKM 进行解密。 解密后的 DEK 随后返回 Genesys Cloud 并用于解密录音。 私有 KEK 密钥永远不会进入 Genesys 云端。

重要提示： 出于安全考虑，您必须保护自己的私钥。 使用 LKM 时，您对 KEK 的所有权负责，在删除相应的录音之前，不得将其从 LKM 中删除。 如果任何一个 KEK（包括旋转出的 KEK）丢失，那么 Genesys 就没有恢复录音的机制。

  • AWS KMS 对称： 您的组织使用您从 AWS 密钥管理服务 (KMS) 收到的对称密钥对 Genesys Cloud 托管的 KEK 私钥对进行加密。 与 LKM 类似，此选项允许您对 Genesys Cloud 中的录制文件进行访问控制。 只有在您授予对 AWS KMS 中对称密钥的访问权限时，Genesys 云才能解密录制文件。

点击图片放大。

AWS KMS 对称流

当您使用 AWS KMS 时， Genesys Cloud 使用相同的信封加密技术进行记录加密。 对于记录解密， AWS KMS 首先解密这私钥 KEK 密钥对。 解密后，Genesys Cloud 使用它来解密 DEK，然后使用 DEK 来解密录音。 您的对称 AWS KMS 密钥永远不会进入 Genesys Cloud。

重要提示： 出于安全考虑，您必须在 AWS KMS 中保护您的对称密钥。 您应对这些对称密钥的所有权负责，在删除相应的录制文件之前，不得将其删除。 如果任何对称密钥（包括旋转出来的密钥）丢失，则 Genesys 没有恢复录音的机制。

Genesys Cloud 使用信封加密技术进行录制加密。 首先使用对称数据加密密钥 (DEK) 对录音进行加密，然后通过一对非对称的密钥加密密钥 (KEK) 对 DEK 进行加密。 加密的录音和加密的 DEK 都打包成一个文件并上传到 Genesys Cloud 中的录制存储库。
  • 对于 KeKS，Genesys Cloud 创建 RSA 3072 位公钥/私钥对。 公钥是在内部发布的，用于加密目的。 私钥用于解密，永远不会将加密服务保留在 Genesys Cloud 中。 KEK 密钥对中的公钥和私钥在数学上是关联的。
  • 对于 DEK，Genesys Cloud 每次录制都会生成不同的 AES 256 位对称密钥。
  • DEK 由与 KEK 密钥对关联的公钥进行加密，只能通过相应的私钥进行解密。

当系统创建和安全存储录音时，Genesys Cloud Media Tier 遵守上述加密过程。 此过程包括在将加密文件上传到录制存储库之前媒体层的中间存储。 媒体层的中间存储驻留在 Genesys Cloud 中Genesys 云语音或者自带云，或在前提下自带设备 (BYOC) 场所。 使用长而强的加密密钥可以有效防御暴力攻击。

当您必须解密录音时（例如，在响应用户的录制播放请求时），从录制存储库检索文件后，会发生以下解密过程：

  1. 加密的 DEK 使用与 KEK 密钥对关联的相应私钥进行解密。
  2. 使用DEK，加密的录音将被解密。

批量导出录音时会发生相同的解密过程。 导出的录音文件不再使用前面提到的加密密钥进行加密。 但是，根据您的政策，使用 Amazon S3 托管加密密钥 (SSE-S3) 或 AWS 密钥管理服务 (SSE-KMS) 存储的客户托管密钥 (CMK) 启用服务器端加密 (SSE)，它们将在导出的 S3 存储桶中得到保护。 此外，您可以指定与 P GP 兼容的加密来在导出文件时对其进行加密。

点击图片放大。

批量导出流程

定期更改加密密钥，以帮助确保所记录互动的安全。 此过程限制了指定密钥可以访问的录音数量。

注意： 我们建议在较短的间隔内使用计划的密钥轮替。

要访问加密密钥管理页面，请单击 “管理员” > “质量” > “加密密钥”。

点击图片放大。

加密密钥管理页面