Rotazione chiave

Questa pagina illustra la rotazione delle chiavi in Cloud Key Management Service. La rotazione della chiave processo di creazione di nuove chiavi di crittografia per sostituire quelle esistenti. Se ruoti le chiavi di crittografia in base a una pianificazione regolare o dopo eventi specifici, puoi ridurre le potenziali conseguenze della compromissione della chiave. Per specifiche per istruzioni su come ruotare una chiave, consulta Rotazione delle chiavi.

Perché ruotare le chiavi?

Per la crittografia simmetrica, le chiavi a rotazione periodica e automatica sono la prassi di sicurezza consigliata. Alcuni standard di settore, come Payment Card Industry Data Security Standard (PCI DSS), richiedono la regolarizzazione la rotazione delle chiavi.

Cloud Key Management Service non supporta la rotazione automatica delle chiavi asimmetriche. Consulta la sezione Considerazioni sulle chiavi asimmetriche in questo documento.

La rotazione delle chiavi offre diversi vantaggi:

  • Limitare il numero di messaggi criptati con la stessa versione della chiave prevenire gli attacchi abilitati dalla crittoanalisi. I consigli sulla durata della chiave dipendono dall'algoritmo della chiave, nonché dal numero di messaggi prodotti o dal numero totale di byte criptati con la stessa versione della chiave. Ad esempio, la durata consigliata delle chiavi di crittografia simmetrica in modalità Galois/Counter (GCM) si basa sul numero di messaggi criptati, come indicato all'indirizzo https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-38d.pdf.

  • Nel caso in cui una chiave venga compromessa, la rotazione regolare limita il numero di messaggi effettivi vulnerabili alla compromissione.

    Se sospetti che una versione della chiave sia compromessa, disattivala e revoca l'accesso il prima possibile.

  • La rotazione regolare delle chiavi garantisce che il sistema sia resiliente alla rotazione manuale, che si tratti di una violazione della sicurezza o della necessità di eseguire la migrazione dell'applicazione a un algoritmo crittografico più efficace. Convalida le procedure di rotazione delle chiavi prima che si verifichi un incidente di sicurezza reale.

Puoi anche ruotare manualmente una chiave, perché è compromessa, oppure per modificare l'applicazione per utilizzare un algoritmo diverso.

Frequenza di rotazione delle chiavi

Ti consigliamo di ruotare le chiavi automaticamente in base a una pianificazione regolare. Una pianificazione della rotazione definisce la frequenza della rotazione e, facoltativamente, la data e l'ora in cui si verifica la prima rotazione. La programmazione della rotazione può essere basata sulla data di creazione della chiave o sul numero o sul volume di messaggi criptati con una versione della chiave.

Alcune normative sulla sicurezza richiedono la rotazione periodica e automatica delle chiavi. Automatica rotazione della chiave in un periodo definito, ad esempio ogni 90 giorni, aumenta la sicurezza con minima complessità amministrativa.

Devi anche ruotare manualmente una chiave se sospettare che sia stato compromesso o quando le linee guida per la sicurezza lo richiedono. migrare un'applicazione a un algoritmo chiave più potente. Puoi programmare una sessione la rotazione per una data e un'ora future. La rotazione manuale di una chiave mettere in pausa, modificare o influire in altro modo su una pianificazione di rotazione automatica esistente per la chiave.

Non fare affidamento sulla rotazione manuale o irregolare come componente principale della sicurezza della tua applicazione.

Dopo aver ruotato le chiavi

La rotazione delle chiavi crea nuove versioni della chiave attiva, ma non cripta nuovamente i dati e non disabilita né elimina le versioni precedenti della chiave. Versioni precedenti della chiave rimangono attive e comportano costi fino all'eliminazione. La crittografia di nuovo dei dati rimuove la dipendenza dalle vecchie versioni delle chiavi, consentendoti di distruggerle per evitare di incorrere in costi aggiuntivi. Per scoprire come ricriptare i dati, consulta Ricrittografia dei dati.

Devi assicurarti che una versione della chiave non sia più in uso prima di distruggerla.

Considerazioni sulle chiavi asimmetriche

Cloud KMS non supporta la rotazione automatica per le chiavi asimmetriche, perché sono necessari ulteriori passaggi prima di poter usare la nuova chiave asimmetrica completamente gestita.

  • Per le chiavi asimmetriche utilizzate per la firma, devi distribuire il pubblico della nuova versione della chiave. In seguito, puoi specificare la nuova versione della chiave nelle chiamate al metodo CryptoKeyVersions.asymmetricSign per creare una firma e aggiornare le applicazioni in modo che utilizzino la nuova versione della chiave.

  • Per le chiavi asimmetriche utilizzate per la crittografia, devi distribuire e incorporare la parte pubblica della nuova versione della chiave nelle applicazioni che criptare i dati e concedere l'accesso alla parte privata della nuova versione della chiave, per le applicazioni che decriptano i dati.

Passaggi successivi