Şifreleme anahtarını yenileme

Anahtar malzemesini planlı değiştirmek

Anahtar yenilemede, kullanılan kriptografik anahtar malzemesinin yerine yenisi alınır. Belirlenmiş bir süre, kullanım sınırları veya güvenlik olayı bunu başlatabilir. Uygun yenileme aralığı yönteme, kullanıma ve koruma ihtiyacına bağlıdır; her uygulamaya uyan tek bir yenileme aralığı yoktur.

Eski verinin anahtarını bulabilmek

Kurgusal bir belge portalındaki planlı geçişte uygulama, yeni dosyaları artık v1 yerine v2 ile şifreler. Bu adlar anahtar değerlerini değil, sürümlerini temsil eder. Önceden saklanan dosyalar bununla kendiliğinden yeni sürümle şifrelenmiş olmaz.

Ekip, eski verileri yeniden şifrelemeyi veya eski anahtar sürümünü kontrollü erişim altında çözme işlemi için tutmayı kararlaştırmalıdır. Mevcut yedekler de eski sürüme ihtiyaç duyabilir. Sürüm kalıcı olarak kaldırılmadan önce gerekli verilerin artık ona bağlı olmadığı belirlenmelidir. Sürüm tanımlayıcısı, ilgili anahtar malzemesinin yerini tutmaz.

İfşa şüphesini ayrıca ele almak

Anahtarın açığa çıktığından şüpheleniliyorsa normal yenileme takvimi yeterli değildir. Olay planı, etkilenen anahtarlara erişimi, mevcut verileri ve güvenli geçişi de ele almalıdır. Yeni sürüm, önceden çalınmış açık verileri veya anahtar yönetiminde süren yetkisiz erişimi ortadan kaldırmaz.

Kaynaklar

• OWASP — Cryptographic Storage

• Google Cloud KMS — Key rotation