Criptarea plicurilor cu chei asimetrice vs KMS
On februarie 18, 2021 by adminÎn criptarea plicului se utilizează o cheie secretă simetrică pentru a semna datele și apoi o altă cheie este utilizată pentru a cripta secretul pentru a produce o cheie secretă criptată. Mesajele criptate sunt ambalate cu cheia secretă criptată și trimise clientului / consumatorului care apoi decriptează cheia secretă criptată pentru a obține cheia secretă, care la rândul său este utilizată pentru decriptarea mesajului
Există 2 moduri pentru a-l implementa:
- Criptare asimetrică: Producătorul criptează cheia (secretele) secrete cu cheia publică a consumatorilor. Consumatorul folosește o cheie privată pentru a decripta secretul criptat
- KMS (cum ar fi AWS KMS): cheia secretă este criptată de KMS, iar clientul care are nevoie de acces la cheia secretă trebuie să solicite KMS-ului să decriptați-l
Avantajul abordării KMS este că gestionarea cheilor este centralizată, iar revocarea permisiunilor de la un client se poate face prin eliminarea clientului din KMS și rotirea cheii.
Există motive întemeiate pentru a utiliza chei asimetrice în loc de KMS?
Comentarii
- Pe lângă faptul că un KMS este un serviciu separat de întreținut, administrat și devine un singur punct de eșec într-un mediu distribuit? Întrebarea dvs. este o " criptare " sau o " logistică " întrebare?
Răspuns
Dacă KMS deține cheia, atunci pot citi mesajul. Dacă KMS este încălcat, atunci un atacator poate citi toate mesajele asociate cu toate cheile pe care le-au furat. Cheile asimetrice în care cheia privată este deținută doar de către destinatar permit numai destinatarului să citească mesajul, astfel încât nu există nicio grijă cu privire la sistemele KMS peeping. Dacă cheia privată este furată, este doar pentru e-mailurile către acel utilizator care a folosit acea cheie , nu toată lumea din sistem.
Răspuns
Este vorba despre locul în care stochezi secretul și cine are acces la el .
Mai întâi o precizare: ești confuz. KMS nu folosește criptare asimetrică (numită și criptare cu cheie publică). Utilizează criptarea cheii private pentru a activa criptarea plicurilor. Sunt două lucruri diferite.
În criptarea asimetrică, producătorul criptării nu trebuie să acceseze niciodată secretul, au nevoie doar de cheia publică. Producătorul folosește cheia publică pentru a cripta, consumatorul folosește cheia privată corespunzătoare pentru a decripta. Pentru a facilita rotația cheii, producătorul adaugă uneori cheia publică care a fost utilizată pentru a cripta, astfel încât consumatorul să știe ce cheie privată să folosească pentru a decripta. Indiferent cât de multe date sunt criptate, nu există indicii la cheia privată. Algoritmul pentru decriptare este de obicei mai intensiv în calcul decât criptarea cheii private.
În criptarea plicurilor, producătorul și consumatorul trebuie să fie identici (sau ambii au acces la cheia principală). Folosiți o cheie master pentru a genera o cheie secundară numită cheie de date. Apoi criptați cheia de date folosind cheia principală și datele în sine folosind cheia de date, apoi adăugați cheia de date criptată la datele criptate. Când decriptați, utilizați cheia master pentru a decripta cheia de date adăugată, apoi utilizați cheia de date decriptată pentru a decripta datele.
Avantajul este că puteți stoca în mod eficient cheia dvs. master în scopuri- a construit modulul de securitate hardware și nu îl expuneți niciodată altora fără a fi nevoie să transmiteți toate datele pe care le criptați în HSM. Puteți chiar să generați cheia în interiorul HSM și să nu o scoateți astfel încât să nu existe nicio șansă ca aceasta să fi fost expusă vreodată la ceva extern. KMS vă oferă un HSM bazat pe cloud și este susținut de HSM-uri fizice la Amazon.
Dacă nu vă pasă să păstrați cheia principală într-un HSM, puteți face același tip de criptare folosind propria cheie pe care încercați să o păstrați în siguranță punând pe un server de salt sau ceva De asemenea, atâta timp cât nu criptați mai mult de 250 de milioane de TB, puteți sări peste plic.
Dacă sunteți în căutarea unui exemplu de cod, puteți extrage pentru a implementa fie criptare simplă AES, fie criptarea plicului, poate doriți să verificați proiectul nostru open-source. Are o implementare pentru fiecare pe care îl puteți utiliza …
Lasă un răspuns