Rotazione chiave

Questa pagina illustra la rotazione delle chiavi in Cloud Key Management Service. La rotazione delle chiavi è il processo di creazione di nuove chiavi di crittografia per sostituire quelle esistenti. Se ruoti le chiavi di crittografia in base a una pianificazione regolare o dopo eventi specifici, puoi ridurre le potenziali conseguenze della compromissione della chiave. Per istruzioni specifiche su come ruotare una chiave, consulta Ruotare le chiavi.

Perché ruotare le chiavi?

Per la crittografia simmetrica, le chiavi a rotazione periodica e automatica sono la prassi di sicurezza consigliata. Alcuni standard di settore, come lo standard di sicurezza dei dati dell'industria delle carte di pagamento (PCI DSS), richiedono la rotazione regolare delle chiavi.

Cloud Key Management Service non supporta la rotazione automatica delle chiavi asimmetriche. Consulta Considerazioni sulle chiavi asimmetriche di seguito.

La rotazione delle chiavi offre diversi vantaggi:

  • Limitare il numero di messaggi criptati con la stessa versione della chiave prevenire gli attacchi abilitati dalla crittoanalisi. I consigli sulla durata della chiave dipendono dall'algoritmo della chiave, nonché dal numero di messaggi prodotti o dal numero totale di byte criptati con la stessa versione della chiave. Ad esempio, la durata consigliata della chiave per simmetrica di crittografia in Galois/Counter Mode (GCM) si basa sul numero di messaggi criptati, come indicato https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-38d.pdf.

  • Nel caso in cui una chiave sia compromessa, la rotazione regolare limita il numero di messaggi reali vulnerabili alla compromissione.

    Se sospetti che una versione della chiave sia stata compromessa, disattivarlo e revoca l'accesso il prima possibile.

  • La rotazione regolare delle chiavi garantisce che il sistema sia resiliente alla rotazione manuale, che si tratti di una violazione della sicurezza o della necessità di eseguire la migrazione dell'applicazione a un algoritmo crittografico più efficace. Convalida le procedure di rotazione delle chiavi prima che si verifichi un incidente di sicurezza reale.

Puoi anche ruotare manualmente una chiave, perché è compromessa, oppure per modificare l'applicazione per utilizzare un algoritmo diverso.

La frequenza di rotazione delle chiavi

Ti consigliamo di ruotare le chiavi automaticamente a intervalli regolari. Una pianificazione di rotazione definisce la frequenza di rotazione, e facoltativamente la data e l'ora in cui avviene la prima rotazione. La rotazione può essere basata sull'età della chiave oppure sul numero o sul volume dei messaggi criptati con una versione della chiave.

Alcune normative sulla sicurezza richiedono la rotazione periodica e automatica delle chiavi. La rotazione automatica delle chiavi in un periodo definito, ad esempio ogni 90 giorni, aumenta la sicurezza con una complessità amministrativa minima.

Devi anche ruotare manualmente una chiave se sospettare che sia stato compromesso o quando le linee guida per la sicurezza lo richiedono. di un'applicazione a un algoritmo chiave più potente. Puoi programmare una sessione per una data e un'ora future. La rotazione manuale di una chiave mettere in pausa, modificare o influire in altro modo su una pianificazione di rotazione automatica esistente per la chiave.

Non fare affidamento su rotazioni irregolari o manuali come componente principale della la sicurezza dell'applicazione.

Considerazioni sulle chiavi asimmetriche

Cloud KMS non supporta la rotazione automatica per le chiavi asimmetriche, perché sono necessari passaggi aggiuntivi prima di poter utilizzare la nuova versione della chiave asimmetrica.

  • Per le chiavi asimmetriche utilizzate per la firma, devi distribuire il pubblico della nuova versione della chiave. In seguito, puoi specificare la nuova versione della chiave nelle chiamate al metodo CryptoKeyVersions.asymmetricSign per creare una firma e aggiornare le applicazioni in modo che utilizzino la nuova versione della chiave.

  • Per le chiavi asimmetriche utilizzate per la crittografia, devi distribuire e incorporare la parte pubblica della nuova versione della chiave nelle applicazioni che criptare i dati e concedere l'accesso alla parte privata della nuova versione della chiave, per le applicazioni che decriptano i dati.

Passaggi successivi