Nyckelrotation
Nyckelrotation tar nytt nyckelmaterial i bruk. För äldre data och säkerhetskopior måste det vara klart vilka versioner som behövs för dekryptering.
Planera bytet av nyckelmaterial
Nyckelrotation ersätter kryptografiskt nyckelmaterial som redan används med nytt material. En bestämd period, användningsgränser eller en säkerhetsincident kan utlösa bytet. Ett lämpligt intervall beror på metod, användning och skyddsbehov; därav följer inget gemensamt antal dagar för alla applikationer.
Behåll kopplingen mellan äldre data och nycklar
Vid en planerad ändring i en fiktiv dokumentportal krypterar applikationen nya filer med v2 i stället för v1. Beteckningarna avser nyckelversioner, inte nyckelvärden. Redan lagrade filer blir därmed inte automatiskt krypterade med den nya versionen.
Teamet måste välja mellan att kryptera om äldre data och att behålla deras tidigare nyckelversion för dekryptering med kontrollerad åtkomst. Även befintliga säkerhetskopior kan behöva den gamla versionen. Före permanent borttagning måste det vara klarlagt att nödvändiga data inte längre är beroende av den. En versionsbeteckning ersätter inte tillhörande nyckelmaterial.
Hantera misstänkt exponering separat
Vid misstänkt exponering räcker inte den vanliga rotationskalendern. Incidentplanen måste även hantera åtkomst till berörda nycklar, befintliga data och en säker övergång. En ny version tar varken bort redan stulna klartextdata eller obehörig åtkomst till nyckelhanteringen som fortfarande är aktiv.
Källor
Relaterade begrepp
- Envelope-krypteringEnvelope-kryptering skiljer datanyckeln från den nyckel som skyddar den. Den krypterade filen och inpackade datanyckeln behöver hanteras tillsammans.
- GranskningsloggEn granskningslogg gör viktiga applikationshändelser spårbara. Aktör, åtgärd, berört objekt och resultat måste kunna läsas tillsammans.
- Policy för datalagringEn policy för datalagring anger syfte, start, varaktighet och slut för lagringen. Raderingsjobb och kopior måste ingå i den tekniska lösningen.
- DataminimeringDataminimering begränsar personuppgifter till vad som är lämpligt, relevant och nödvändigt för ett bestämt ändamål.
- Saltning av lösenordVid saltning får varje ny lösenordshash ett eget slumpmässigt tilläggsvärde. Saltet sparas tillsammans med hashen och behöver inte vara hemligt.
- Argon2Argon2 är en familj minneskrävande hashfunktioner för lösenord. Variant, minnesbehov och körtid måste passa säkerhetskraven och driften.
Ditt projekt med ASES
Beskriv ditt projekt för oss. Vi hör av oss med en första bedömning.