Rotazione chiave

Questa pagina illustra rotazione della chiave in Cloud Key Management Service. La rotazione delle chiavi è il procedura di creazione di nuove chiavi di crittografia per sostituire quelle esistenti. Se ruoti le chiavi di crittografia in modo regolare o dopo eventi specifici, puoi ridurre le potenziali conseguenze della compromissione della chiave. Per istruzioni specifiche su come ruotare una chiave, consulta Ruotare le chiavi.

Perché ruotare le chiavi?

Per la crittografia simmetrica, la rotazione periodica e automatica delle chiavi è una pratica di sicurezza consigliata. Alcuni standard di settore, come lo standard di sicurezza dei dati dell'industria delle carte di pagamento (PCI DSS), richiedono la rotazione regolare delle chiavi.

Cloud Key Management Service non supporta la rotazione automatica delle chiavi asimmetriche. Consulta la sezione Considerazioni sulle chiavi asimmetriche in questo documento.

La rotazione delle chiavi offre diversi vantaggi:

  • Limitare il numero di messaggi criptati con la stessa versione della chiave aiuta a difendersi dagli attacchi abilitati dalla crittoanalisi. I consigli sulla durata della chiave dipendono dall'algoritmo della chiave, nonché dal numero di messaggi prodotti o dal numero totale di byte criptati con la stessa versione della chiave. Ad esempio, la durata consigliata delle chiavi di crittografia simmetrica in modalità Galois/Counter (GCM) si basa sul numero di messaggi criptati, come indicato all'indirizzo https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-38d.pdf.

  • Nel caso in cui una chiave venga compromessa, la rotazione regolare limita il numero di messaggi effettivi vulnerabili alla compromissione.

    Se sospetti che una versione della chiave sia compromessa, disattivala e revoca l'accesso il prima possibile.

  • La rotazione regolare delle chiavi garantisce che il sistema sia resiliente alla rotazione manuale, che si tratti di una violazione della sicurezza o della necessità di eseguire la migrazione dell'applicazione a un algoritmo crittografico più efficace. Convalida le procedure di rotazione della chiave prima che si verifichi un incidente di sicurezza reale.

Puoi anche ruotare manualmente una chiave perché è compromessa o per modificare l'applicazione in modo da utilizzare un algoritmo diverso.

La frequenza di rotazione delle chiavi

Ti consigliamo di ruotare le chiavi automaticamente in base a una pianificazione regolare. Una pianificazione della rotazione definisce la frequenza della rotazione e, facoltativamente, la data e l'ora in cui si verifica la prima rotazione. La programmazione della rotazione può essere basata sulla data di creazione della chiave o sul numero o sul volume di messaggi criptati con una versione della chiave.

Alcune normative sulla sicurezza richiedono la rotazione periodica e automatica delle chiavi. La rotazione automatica delle chiavi in un periodo definito, ad esempio ogni 90 giorni, aumenta la sicurezza con una complessità amministrativa minima.

Dovresti anche ruotare manualmente una chiave se sospetti che sia stata compromessa o quando le linee guida sulla sicurezza richiedono di eseguire la migrazione di un'applicazione a un algoritmo di chiavi più efficace. Puoi pianificare una rotazione manuale per una data e un'ora future. La rotazione manuale di una chiave non interrompe, modifica o influisce in altro modo su una pianificazione di rotazione automatica esistente per la chiave.

Non fare affidamento sulla rotazione manuale o irregolare come componente principale della sicurezza della tua applicazione.

Dopo aver ruotato le chiavi

La rotazione delle chiavi crea nuove versioni attive delle chiavi, ma non cripta nuovamente i dati e non disattiva o elimina le versioni precedenti delle chiavi. Le versioni precedenti delle chiavi rimangono attive e generano costi fino a quando non vengono eliminate. La crittografia di nuovo dei dati rimuove la dipendenza dalle vecchie versioni delle chiavi, consentendoti di distruggerle per evitare di incorrere in costi aggiuntivi. Per scoprire come criptare di nuovo i dati, consulta Ricriptare i dati.

Devi assicurarti che una versione della chiave non sia più in uso prima di distruggerla.

Considerazioni per le chiavi asimmetriche

Cloud KMS non supporta la rotazione automatica per le chiavi asimmetriche, perché sono necessari passaggi aggiuntivi prima di poter utilizzare la nuova versione della chiave asimmetrica.

  • Per le chiavi asimmetriche utilizzate per la firma, devi distribuire la parte della chiave pubblica della nuova versione della chiave. In seguito, puoi specificare la nuova versione della chiave nelle chiamate al metodo CryptoKeyVersions.asymmetricSign per creare una firma e aggiornare le applicazioni in modo che utilizzino la nuova versione della chiave.

  • Per le chiavi asimmetriche utilizzate per la crittografia, devi distribuire e incorporare la parte pubblica della nuova versione della chiave nelle applicazioni che criptano i dati e concedere l'accesso alla parte privata della nuova versione della chiave per le applicazioni che decriptano i dati.

Passaggi successivi