Zarf şifreleme

Veriyi ve veri anahtarını ayrı korumak

Zarf şifreleme, veriyi Data Encryption Key veya DEK adı verilen veri şifreleme anahtarıyla şifreler. Başka bir anahtar, Key Encryption Key veya KEK, bu DEK’i şifreler. İkinci işleme wrapping, yani anahtarı paketleme de denir. DEK’in şifreli biçimi şifreli veriyle birlikte saklanabilir; KEK ayrı korunur.

Kurgusal bir belge portalı document-42 dosyasını bunun için üretilmiş bir DEK ile şifreler. DEK’i, anahtar yönetim hizmetindeki KEK ile paketletir. Belgeyle birlikte şifreli dosyayı, paketlenmiş DEK’i ve gerekli anahtar referansını saklar. Şifrelenmemiş DEK’i oraya kalıcı olarak koymaz.

Okurken iki katmanı da ele almak

Dosyayı açmak için uygulamanın şifreli dosyaya ve paketlenmiş DEK’e erişmesi gerekir. Anahtar yönetim hizmetindeki uygun yetkiyle DEK’i açabilir ve onunla dosyanın şifresini çözebilir. Bu nedenle anahtar kullanım yetkileri ve bellekte erişilebilir olan DEK’in yönetimi güvenlik açısından önemini korur.

Paketlenmiş DEK ile birlikte çalınmış veri kopyası, koruyucu KEK’e erişimle aynı değildir. Saldırgan ayrıca DEK’i açmak için yeterli yetkileri edinirse bu ayrımın koruması kaybolabilir. Dolayısıyla yapı, erişim kontrolünün yerini tutmaz. Sonraki KEK yenilemesinde de hangi paketlenmiş anahtar ve eski sürümlerin gerekli kaldığı belirlenmelidir.

Kaynaklar

• Google Cloud KMS — Envelope encryption

• OWASP — Cryptographic Storage