Umschlagverschlüsselung mit asymmetrischen Schlüsseln vs KMS
On Februar 18, 2021 by adminBei der Umschlagverschlüsselung wird ein symmetrischer geheimer Schlüssel zum Signieren der Daten verwendet, und dann wird ein anderer Schlüssel zum Verschlüsseln des zu erzeugenden Geheimnisses verwendet ein verschlüsselter geheimer Schlüssel. Die verschlüsselten Nachrichten werden mit dem verschlüsselten geheimen Schlüssel verpackt und an den Client / Verbraucher gesendet, der dann den verschlüsselten geheimen Schlüssel entschlüsselt, um den geheimen Schlüssel zu erhalten, der wiederum zum Entschlüsseln der Nachricht verwendet wird.
Es gibt zwei Möglichkeiten So implementieren Sie es:
- Asymmetrische Verschlüsselung: Der Hersteller verschlüsselt die geheimen Schlüssel mit dem öffentlichen Schlüssel des Verbrauchers. Der Verbraucher verwendet einen privaten Schlüssel, um das verschlüsselte geheime
- KMS zu entschlüsseln (z. B. AWS KMS): Der geheime Schlüssel wird vom KMS verschlüsselt, und der Client, der Zugriff auf den geheimen Schlüssel benötigt, muss das KMS dazu auffordern entschlüsseln
Der Vorteil des KMS-Ansatzes besteht darin, dass die Schlüsselverwaltung zentralisiert ist und das Widerrufen von Berechtigungen von einem Client durch Entfernen des Clients aus dem KMS und Drehen des Schlüssels erfolgen kann.
Gibt es gute Gründe, asymmetrische Schlüssel anstelle von KMS zu verwenden?
Kommentare
- Neben der Tatsache, dass ein KMS ein separater Dienst ist, der in einer verteilten Umgebung gewartet, verwaltet und zu einem einzigen Fehlerpunkt wird? Ist Ihre Frage eine " Verschlüsselung " Frage oder eine " Logistik " Frage?
Antwort
Wenn das KMS den Schlüssel hält, können sie lesen die Nachricht. Wenn das KMS verletzt wird, kann ein Angreifer alle Nachrichten lesen, die allen von ihm gestohlenen Schlüsseln zugeordnet sind. Asymmetrische Schlüssel, bei denen der private Schlüssel nur vom Empfänger gehalten wird, ermöglichen es dem Empfänger nur, die Nachricht zu lesen, sodass Sie sich keine Gedanken über das Durchsuchen von KMS-Systemen machen müssen. Wenn der private Schlüssel gestohlen wird, gilt dies nur für E-Mails an diesen Benutzer, der diesen Schlüssel verwendet hat , nicht jeder im System.
Antwort
Es geht darum, wo Sie das Geheimnis speichern und wer Zugriff darauf hat
Zunächst eine Klarstellung: Sie sind verwirrt. KMS verwendet keine asymmetrische Verschlüsselung (auch als Public-Key-Verschlüsselung bezeichnet). Es verwendet die Verschlüsselung mit privatem Schlüssel, um die Umschlagverschlüsselung zu aktivieren. Dies sind zwei verschiedene Dinge.
Bei der asymmetrischen Verschlüsselung muss der Hersteller der Verschlüsselung niemals auf das Geheimnis zugreifen, sondern benötigt lediglich den öffentlichen Schlüssel. Der Produzent verwendet den öffentlichen Schlüssel zum Verschlüsseln, der Verbraucher verwendet den entsprechenden privaten Schlüssel zum Entschlüsseln. Um die Schlüsselrotation zu erleichtern, hängt der Hersteller manchmal den öffentlichen Schlüssel an, der zum Verschlüsseln verwendet wurde, damit der Verbraucher weiß, welchen privaten Schlüssel zum Entschlüsseln verwendet werden soll. Unabhängig davon, wie viele Daten verschlüsselt sind, gibt es keine Hinweise auf den privaten Schlüssel. Der Algorithmus zur Entschlüsselung ist normalerweise rechenintensiver als die Verschlüsselung mit privaten Schlüsseln.
Bei der Umschlagverschlüsselung müssen Hersteller und Verbraucher identisch sein (oder beide haben Zugriff auf den Hauptschlüssel). Sie verwenden einen Hauptschlüssel, um einen Sekundärschlüssel zu generieren, der als Datenschlüssel bezeichnet wird. Anschließend verschlüsseln Sie den Datenschlüssel mit dem Hauptschlüssel und die Daten selbst mit dem Datenschlüssel. Anschließend hängen Sie den verschlüsselten Datenschlüssel an die verschlüsselten Daten an. Wenn Sie entschlüsseln, verwenden Sie den Hauptschlüssel, um den angehängten Datenschlüssel zu entschlüsseln, und verwenden Sie dann den entschlüsselten Datenschlüssel, um die Daten zu entschlüsseln.
Dies hat den Vorteil, dass Sie Ihren Hauptschlüssel kostengünstig zweckmäßig speichern können. Erstellen Sie ein Hardware-Sicherheitsmodul und setzen Sie es niemals etwas anderem aus, ohne alle von Ihnen verschlüsselten Daten an das HSM übergeben zu müssen. Sie können den Schlüssel sogar innerhalb des HSM generieren und nicht herausnehmen, sodass keine Chance besteht, dass er jemals extern ausgesetzt wurde. KMS bietet Ihnen ein Cloud-basiertes HSM und wird von physischen HSMs bei Amazon unterstützt.
Wenn Sie nicht daran interessiert sind, Ihren Hauptschlüssel in einem HSM zu behalten, können Sie dieselbe Art der Verschlüsselung mit Ihrem eigenen Schlüssel durchführen, die Sie versuchen, sicher zu halten, indem Sie einen Jump-Server oder etwas anderes einrichten Solange Sie nicht mehr als 250 Millionen TB verschlüsseln, können Sie den Umschlag überspringen.
Wenn Sie nach einem Beispielcode suchen, können Sie entweder eine einfache AES-Verschlüsselung oder eine einfache AES-Verschlüsselung implementieren Umschlagverschlüsselung Vielleicht möchten Sie unser Open-Source-Projekt überprüfen. Es enthält eine Implementierung für jedes, das Sie nutzen können …
Schreibe einen Kommentar