Kryptografische Schlüssel sind ein wichtiger Bestandteil jedes Sicherheitssystems. Sie erledigen alles von Daten Verschlüsselung und Entschlüsselung zur Benutzerauthentifizierung. Die Kompromittierung eines kryptografischen Schlüssels kann zum Zusammenbruch der gesamten Sicherheitsinfrastruktur eines Unternehmens führen und dem Angreifer ermöglichen, vertrauliche Daten zu entschlüsseln, sich als privilegierter Benutzer zu authentifizieren oder sich Zugriff auf andere Quellen vertraulicher Informationen zu verschaffen. Glücklicherweise kann die ordnungsgemäße Verwaltung von Schlüsseln und den zugehörigen Komponenten die Sicherheit vertraulicher Informationen gewährleisten.
Schlüsselverwaltung ist der Prozess der Implementierung bestimmter Standards, um die Sicherheit kryptografischer Schlüssel in einer Organisation zu gewährleisten. Schlüsselverwaltung befasst sich mit der Erstellung, dem Austausch, der Speicherung, der Löschung und der Aktualisierung von Schlüsseln sowie mit dem Zugriff der Mitglieder einer Organisation auf Schlüssel.
Symmetrische Schlüssel werden in erster Linie zum Ver- und Entschlüsseln ruhender Daten verwendet, während übertragene Daten mit asymmetrischen Schlüsseln verschlüsselt und entschlüsselt werden. Für ruhende Daten werden symmetrische Schlüssel verwendet, da die symmetrische Verschlüsselung schnell und einfach zu verwenden ist. Dies ist zwar für Clients hilfreich, die auf eine Datenbank zugreifen, bietet aber weniger Sicherheit.
Da für die Datenübertragung eine kompliziertere und sicherere Verschlüsselung erforderlich ist, werden asymmetrische Schlüssel verwendet.
Funktionsweise symmetrischer Schlüsselsysteme
Übersicht über die Funktionsweise symmetrischer Schlüsselsysteme und die wichtigsten Schritte:
- Ein Benutzer kontaktiert das Speichersystem, eine Datenbank, einen Speicher usw. und fordert verschlüsselte Daten an
- Das Speichersystem fordert den Datenverschlüsselungsschlüssel (DEK) von der Schlüsselmanager-API an, die dann die Gültigkeit der Zertifikate der Schlüsselmanager-API und des Schlüsselmanagers überprüft.
- Ein sicheres TLS Anschließend wird eine Verbindung hergestellt und der Schlüsselmanager verwendet einen Schlüsselverschlüsselungsschlüssel (KEK), um den DEK zu entschlüsseln, der über die Schlüsselmanager-API an die Speichersysteme gesendet wird
- Die Daten werden dann entschlüsselt und im Klartext an den Benutzer gesendet
Funktionsweise asymmetrischer Schlüsselsysteme
Asymmetrische Schlüsselsysteme funktionieren aufgrund der Verwendung von Schlüsselpaaren anders. Die Schritte sind wie folgt:
- Sender und Empfänger validieren die Zertifikate des jeweils anderen entweder über ihre privaten Zertifizierungsstelle (CA) oder einer externen Validierungsstelle (VA)
- Der Empfänger sendet dann seinen öffentlichen Schlüssel an den Absender, der die zu sendenden Daten mit einem symmetrischen Einmalschlüssel verschlüsselt, der mit dem öffentlichen Schlüssel des Empfängers verschlüsselt und zusammen mit dem verschlüsselten Schlüssel an den Empfänger gesendet wird. Klartext
- Der Empfänger entschlüsselt den symmetrischen Einmalschlüssel mit seinem eigenen privaten Schlüssel und entschlüsselt die Daten anschließend mit dem unverschlüsselten Einmalschlüssel.
Während diese Schlüsselsysteme die Daten sicher halten, sind die kryptografischen Schlüssel die größte Quelle von Sicherheitsbedenken für ein Unternehmen. Schlüsselverwaltung kommt in.
Um eine hohe Sicherheit und Einheitlichkeit in allen Regierungsorganisationen zu gewährleisten, hat das National Institute of Standards and Technology (NIST) Federal Information Processing Standards (FIPS) und NIST-Empfehlungen, sogenannte NIST-Standards, für vertrauliche und nicht klassifizierte Informationen in Regierungsorganisationen. Diese Standards enthalten genehmigte Sicherheitsmethoden für alle nicht klassifizierten und vertraulichen Regierungsdaten.
Da diese Standards für alle sensiblen und nicht klassifizierten Daten der Regierung zugelassen sind, handelt es sich um Best-Practice-Methoden zum Schutz kryptografischer Schlüssel für nichtstaatliche Unternehmen.
NIST-Standards
Das erste Sicherheitsproblem, das die NIST-Standards untersuchen, sind kryptografische Algorithmen, die zur Verschlüsselung von Daten verwendet werden. In diesem Blog wurden bereits symmetrische und asymmetrische kryptografische Algorithmen diskutiert, die NIST-Standards genehmigen jedoch nur einige spezifische Typen dieser Algorithmen.
Für symmetrische Algorithmen, Blockchiffre-basierte Algorithmen, wie z. B. AESund Hash-Funktion-basierte Algorithmen, wie SHA-1 oder SHA-256, sind zugelassen. Blockchiffre-basierte Algorithmen durchlaufen eine Reihe von Bits, die Blöcke genannt werden, und verwenden verschiedene Operationen, wie z. B. XOR, um die Blöcke über eine Reihe von Runden zu permutieren, was zur Erstellung eines Geheimtext.
Auf Hashfunktionen basierende Algorithmen verwenden Hashes, also Einwegfunktionen, um Hash-Daten zu generieren. Asymmetrische Algorithmen werden grundsätzlich akzeptiert. NIST gibt jedoch an, dass „der private Schlüssel unter der alleinigen Kontrolle der Entität stehen sollte, die das Schlüsselpaar „besitzt“.
Kryptografische Hashfunktionen, die keine kryptografischen Schlüssel verwenden, und Zufallsbitgeneratoren (RBGs), die zur Schlüsselmaterialgenerierung verwendet werden, sind ebenfalls durch NIST-Standards anerkannt. Eine Liste aller durch NIST-Standards anerkannten Algorithmen finden Sie in FIPS 180 und SP 800-90 für Hashfunktionen bzw. RBG.
Die NIST-Standards diskutieren auch die Verwendung kryptografischer Schlüssel. Die wichtigste Empfehlung ist, bei jeder Schlüsselerstellung einen eindeutigen Schlüssel zu erstellen. Ein Schlüssel sollte nicht gleichzeitig für Authentifizierung und Entschlüsselung verwendet werden; ein Benutzer sollte für beide Verwendungszwecke einen eigenen Schlüssel haben. Die NIST-Standards geben Hinweise zur Festlegung der Kryptoperiode. Die Kryptoperiode gibt den Zeitraum an, in dem ein Schlüssel für seinen Zweck verwendet werden kann, bevor er erneuert oder vorzugsweise durch einen neuen Schlüssel ersetzt werden muss.
Bei asymmetrischen Schlüsselpaaren hat jeder Schlüssel seine eigene Kryptoperiode. Die Kryptoperiode des Schlüssels, der zur Erstellung einer digitalen Signatur verwendet wird, wird als Urheber-Nutzungsperiode bezeichnet, die andere Kryptoperiode als Empfänger-Nutzungsperiode. NIST-Standards legen nahe, dass die beiden Kryptoperioden gleichzeitig beginnen, die Empfänger-Nutzungsperiode jedoch über die Urheber-Nutzungsperiode hinausgehen kann und nicht umgekehrt.
Fazit
Schlüsselverwaltung ist ein wesentlicher Bestandteil der Cybersicherheit und sollte daher unter Berücksichtigung aller Best Practices umgesetzt werden. Glücklicherweise veröffentlicht die Regierung die NIST-Standards, die die besten Möglichkeiten zur Minimierung von Sicherheitsrisiken im Zusammenhang mit kryptografischen Schlüsseln empfehlen.
Die NIST-Standards erläutern, wie Schlüssel verwendet werden sollten, welche kryptografischen Algorithmen für staatliche Zwecke zugelassen sind und welche Kryptoperioden für Schlüssel festgelegt werden sollten. Da die NIST-Standards aktualisiert werden, lohnt es sich, sie im Auge zu behalten, um sicherzustellen, dass Ihr Sicherheitssystem immer auf dem neuesten Stand ist.
