Sleutelrotatie

Sleutelmateriaal gepland vervangen

Sleutelrotatie vervangt cryptografisch sleutelmateriaal dat al wordt gebruikt door nieuw materiaal. Een vastgestelde periode, gebruikslimieten of een beveiligingsincident kunnen aanleiding zijn. Een passend interval hangt af van de methode, het gebruik en de beschermingseisen; daaruit volgt geen vast aantal dagen voor iedere applicatie.

Oudere gegevens aan hun sleutel kunnen koppelen

Bij een geplande wijziging in een fictief documentenportaal versleutelt de applicatie nieuwe bestanden voortaan met v2 in plaats van v1. Deze labels staan voor sleutelversies, niet voor sleutelwaarden. Bestaande bestanden worden daardoor niet automatisch met de nieuwe versie versleuteld.

Het team moet kiezen tussen oudere gegevens opnieuw versleutelen en hun vorige sleutelversie onder gecontroleerde toegang voor ontsleuteling bewaren. Ook bestaande back-ups kunnen de oude versie nodig hebben. Vóór definitieve verwijdering moet vaststaan dat benodigde gegevens er niet meer van afhangen. Een versieaanduiding vervangt het bijbehorende sleutelmateriaal niet.

Vermoedelijke blootstelling apart behandelen

Bij vermoedelijke blootstelling volstaat de normale rotatiekalender niet. Het incidentplan moet ook toegang tot getroffen sleutels, bestaande gegevens en een veilige overgang behandelen. Een nieuwe versie verwijdert geen al gestolen onversleutelde gegevens en beëindigt evenmin onbevoegde toegang tot sleutelbeheer die nog actief is.

Bronnen

• OWASP — Cryptographic Storage

• Google Cloud KMS — Key rotation