Secrets Rotation, Envelope Encryption, KMS και HSM Architecture — DedSec Project

Ελληνική έκδοση — Μάθημα 132. Οι διεθνείς τεχνικοί όροι, protocol names, standards και commands παραμένουν στα Αγγλικά όπου αυτό αυξάνει την ακρίβεια.

Σχεδίασε key-management architecture με data keys, KEKs, envelope encryption, KMS/HSM, rotation, grants, audit και recovery.

Μαθησιακοί στόχοι

Στο τέλος πρέπει να μπορείς να:

• εξηγήσεις το data keys and key-encryption keys και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το envelope encryption και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το KMS authorization and grants και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το HSM trust boundaries και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το rotation versus re-encryption και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το key versioning and cryptoperiods και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,

Βαθιές τεχνικές έννοιες

1. data keys και key-encryption keys

Envelope encryption χωρίζει data-encryption keys από ανώτερα keys που τα προστατεύουν. Έτσι root/wrapping key χρησιμοποιείται λιγότερο και μπορεί να αλλάξει policy χωρίς να ξαναγραφτεί όλο το plaintext.

2. envelope encryption

Συνηθισμένο flow: fresh data key, local data encryption και αποθήκευση ciphertext μαζί με wrapped data key. Όπου υποστηρίζεται, δέσε encryption context με tenant/resource για να μη μεταφέρεται wrapped key σε άλλο object.

3. KMS authentication και grants

KMS operation είναι high-value authorization decision. Περιορίσε ποια workload identity κάνει encrypt/decrypt/sign/admin και χώρισε key administrators από data users.

4. HSM boundaries

HSM απομονώνει key material και crypto operations αλλά δεν διορθώνει λάθος app authorization. Αν broad service μπορεί να ζητήσει arbitrary decrypt, το HSM θα εκτελέσει νόμιμα τη λάθος εξουσιοδοτημένη πράξη.

5. rotation έναντι re-encryption

Key rotation μπορεί απλώς να κάνει new writes με νέα version ενώ παλιά ciphertext μένουν με παλιό key. Full re-encryption είναι ξεχωριστό migration με availability, cost, integrity και rollback.

6. versioning και cryptoperiods

Keys χρειάζονται stable identifier/version. Cryptoperiod εξαρτάται από algorithm, exposure, sensitivity, usage volume και recovery και δεν υπάρχει ένα universal rotation interval.

7. backup και recovery

Key loss μπορεί να είναι τόσο καταστροφικό όσο key theft. Όρισε recoverability, backup protection, approval/quorum και tested recovery με audit.

8. audit και key-use attribution

Sensitive key use πρέπει να συνδέεται με workload/user identity, key/version, operation, resource context, policy και time χωρίς να γράφεται plaintext secret/data στα logs.

Καθοδηγούμενο εργαστήριο

• Εργαστήριο 1 — Σχεδίασε κρυπτογράφηση φακέλου για υποθετική εγγραφή βάσης και δείξε τι αποθηκεύεται δίπλα στο κρυπτοκείμενο.

• Εργαστήριο 2 — Δημιούργησε πίνακα ανανέωσης για μυστικά API, κλειδιά TLS, κλειδιά κρυπτογράφησης βάσης και κλειδιά υπογραφής.

• Εργαστήριο 3 — Μοντελοποίησε διακοπή KMS και ανάκληση κλειδιού και αιτιολόγησε ποιες λειτουργίες πρέπει να απορρίπτονται ή να συνεχίζονται.

Πλήρες αγγλικό μάθημα

English Module 132

Επόμενα μαθήματα

Σχετικά modules: 020, 049, 078, 100, 101, 103, 113. Από το κύριο menu επίλεξε Αναζήτηση μαθημάτων για να βρεις σχετικά θέματα σε όλο το project.