Vad är nyckeldeposition?

Nyckeldepositionering är praxis att säkert lagra en säkerhetskopia av en privat krypteringsnyckel hos en betrodd tredje part eller ett betrodd system, så att krypterad data fortfarande kan återställas om den ursprungliga nyckelinnehavaren förlorar åtkomsten till sin nyckel.

Nyckeldeponering säkerhetskopierar en privat krypteringsnyckel hos en betrodd förvaltare, separat från nyckelns normala innehavare, så att krypterad data förblir återställbar om den ursprungliga nyckeln förloras, oavsett om det är på grund av enhetsfel, ett glömt lösenord eller en anställds avgång. Det tillämpas vanligtvis på krypteringsnycklar, inte signeringsnycklar, eftersom deponering av en signeringsnyckel skulle undergräva oförnekanden.

Key Takeaways

• Nyckeldeposition finns för att lösa återställningsmöjligheter: utan den innebär en förlorad privat nyckel permanent förlust av åtkomst till allt som någonsin krypterats med den.
• Krypteringsnycklar deponeras vanligtvis, medan signeringsnycklar vanligtvis inte är det, eftersom en säkerhetskopierad signeringsnyckel skulle låta någon annan än den ursprungliga innehavaren producera en giltig signatur, vilket undergräver oförenligheten.
• S/MIME-e-postkryptering är ett av de vanligaste användningsområdena för nyckeldepositionering inom företag, eftersom förlust av en krypteringsnyckel kan innebära att man förlorar åtkomst till åratal av krypterad korrespondens.
• Deponerade nycklar måste skyddas med åtkomstkontroller som är minst lika starka som originalnyckeln, eftersom ett deponeringssystem i sig är ett värdefullt mål.
• Nyckeldepositionering skiljer sig från nyckelåterställningsagenter i vissa PKI-implementeringar, även om båda tjänar samma underliggande mål att förhindra permanent dataförlust.

Varför är nyckeldeposition nödvändig för krypteringsnycklar men vanligtvis inte för signeringsnycklar?

Krypteringsnycklar skyddar sekretessen: om de förloras blir de data de skyddar permanent oläsliga, vilket är ett rent tillgänglighetsproblem som deponering direkt löser. Signeringsnycklar skyddar äkthet och oavvislighet: hela poängen med en signatur är att bara nyckelinnehavaren kunde ha producerat den, så att säkerhetskopiera en signeringsnyckel någon annanstans innebär att någon annan tekniskt sett också kan producera en giltig signatur, vilket försvagar själva garantin som signering finns för att ge. Det är därför PKI-distributioner för företag vanligtvis utfärdar separata nyckelpar för kryptering och signering, och endast den förra deponeringsvaras.

Hur fungerar nyckeldeposition i praktiken?

• När en användares krypteringsnyckelpar genereras skapas en kopia av privat nyckel överförs säkert till ett escrow-system, vanligtvis krypterat under en separat, noggrant kontrollerad escrow-nyckel.
• Escrow-systemet lagrar nyckeln, loggar åtkomsten strikt och begränsar vem som kan hämta den.
• Om den ursprungliga nyckeln förloras hämtas den deponerade kopian genom en auktoriserad återställningsprocess, som ofta kräver flera godkännanden.
• Den återställda nyckeln tillhandahålls användaren (eller en utsedd återställningsagent) så att tidigare krypterad data blir tillgänglig igen.

Vilka är riskerna med Key Escrow om det implementeras dåligt?

• Koncentrerad risk: ett escrow-system som innehåller många användares krypteringsnycklar blir ett extremt värdefullt mål om det inte skyddas enligt åtminstone samma standard som de ursprungliga nycklarna.
• Svag återställningsbehörighet: en återställningsprocess utan korrekta godkännandekontroller kan låta en enskild insider hämta en användares deponerade nyckel felaktigt.
• Oavsiktlig signering nyckeldepositionAtt felaktigt deponera en signeringsnyckel, snarare än bara en krypteringsnyckel, undergräver oförvitligheten för varje signatur som nyckeln någonsin producerat.

Hur krypteringskonsulting hjälper

Hur krypteringskonsulting hjälper PKI-as-a-Service nyckeldepositioner säkerhetskopierar säkert S/MIME och andra krypteringsnycklar med korrekt åtkomstkontroll och granskningsloggning, så en förlorad enhet eller en avgående anställd betyder aldrig permanent förlorad krypterad data. Stöds av ISO/IEC 27001:2022 och SOC 2 -certifierade metoder.

Vanliga frågor om partihandel med mat och dryck

Vad är skillnaden mellan nyckeldeposition och en nyckelåtervinningsagent?

Båda åtgärdar samma underliggande problem, att återställa åtkomst till data när en nyckel går förlorad, men implementeringarna varierar: nyckeldepositionering avser vanligtvis att lagra en säkerhetskopia av själva nyckeln hos en betrodd part, medan en nyckelåterställningsagent är en utsedd roll eller ett certifikat som är auktoriserat att återställa data under vissa PKI-konfigurationer, ibland utan att direkt inneha den ursprungliga nyckeln.

Borde signeringsnycklar någonsin deponeras?

Generellt sett nej. Att deponera en signeringsnyckel undergräver oavvisligheten, garantin att endast nyckelinnehavaren kunde ha producerat en given signatur. De flesta PKI-distributioner för företag utfärdar ett separat nyckelpar specifikt för kryptering och deponerar endast den nyckeln, vilket innebär att signeringsnycklarna uteslutande behålls av användaren.

Vad händer om ett escrow-system i sig komprometteras?

Ett komprometterat escrow-system kan exponera varje deponerad nyckel det innehar, vilket är anledningen till att escrow-system kräver åtkomstkontroller, kryptering och revisionsloggning som är minst lika starka som de nycklar de skyddar, tillsammans med strikta processer för återställningsauktorisering med flera godkännanden.

Varför är nyckeldepositionering viktig för S/MIME-e-post?

S/MIME-krypterad e-post kan representera åratal av affärskritisk korrespondens. Utan nyckeldeponering innebär en förlorad eller skadad privat nyckel att alla meddelanden som någonsin krypterats till den användaren blir permanent oläsliga, vilket är anledningen till att företags S/MIME-distributioner ofta deponerar specifikt krypteringsnycklar.

Förlora aldrig åtkomst till krypterad data igen

Ta nästa steg. PKI-as-a-Service -nyckelspärr skyddar S/MIME och andra krypteringsnycklar med starka åtkomstkontroller, så en förlorad enhet betyder aldrig permanent förlorad data. Utforska PKI-as-a-Service för att komma igång.