Schlüsselrotation

Schlüsselmaterial geplant wechseln

Bei einer Schlüsselrotation wird bisher verwendetes kryptografisches Schlüsselmaterial durch neues ersetzt. Auslöser können ein festgelegter Zeitraum, Nutzungsgrenzen oder ein Sicherheitsvorfall sein. Ein passender Wechselrhythmus hängt vom Verfahren, der Nutzung und dem Schutzbedarf ab; ein für alle Anwendungen gleicher Wechselrhythmus lässt sich daraus nicht ableiten.

Alte Daten weiter zuordnen können

Bei einer geplanten Umstellung eines fiktiven Dokumentenportals verschlüsselt die Anwendung neue Dateien künftig mit v2 statt v1. Die Bezeichnungen stehen für Schlüsselversionen, nicht für Schlüsselwerte. Bereits gespeicherte Dateien werden dadurch noch nicht automatisch mit der neuen Version verschlüsselt.

Das Team muss entscheiden, ob es ältere Daten neu verschlüsselt oder deren bisherige Schlüsselversion unter kontrolliertem Zugriff weiter zum Entschlüsseln bereithält. Auch vorhandene Backups können die alte Version benötigen. Vor einer endgültigen Entfernung muss feststehen, dass benötigte Daten nicht mehr von ihr abhängen. Eine Versionskennung allein ersetzt das zugehörige Schlüsselmaterial nicht.

Einen Verdachtsfall gesondert behandeln

Bei vermuteter Offenlegung reicht der normale Rotationskalender nicht aus. Der Vorfallplan muss auch den Zugriff auf betroffene Schlüssel, die vorhandenen Daten und eine sichere Umstellung behandeln. Eine neue Version beseitigt weder bereits entwendete Klartexte noch einen weiterhin unberechtigten Zugang zur Schlüsselverwaltung.

Quellen

• OWASP — Cryptographic Storage

• Google Cloud KMS — Key rotation