Ротация ключей
Простыми словами
Сменить ключ — не просто переписать файл. Все нужные участники должны получить новую версию, а старые данные либо перейти на неё, либо сохранить предусмотренный способ расшифрования.
Как применяется
Ротацию выполняют по политике, после изменения состава доступа или при подозрении на компрометацию. Для ключей подписи, шифрования и установки соединений процессы различаются. Новый сертификат не обязательно означает новый ключ, а удаление старого ключа шифрования может лишить доступа к архиву.
Пример применения
Сервис переключает новые зашифрованные документы на новую версию ключа. В метаданных каждого документа сохраняет идентификатор версии. Старому ключу оставляют только нужное право расшифрования до миграции архива; затем прекращают его использование по утверждённой политике.
Не путать с
- Продление сертификатаМожет сохранить прежнюю ключевую пару; ротация подразумевает замену ключа.
- Отзыв сертификатаСообщает о прекращении доверия к сертификату; не выполняет переход приложений на новый ключ.
- ПерешифрованиеОбновляет защиту данных; не всегда требуется для каждой плановой ротации.
Как это работает
- Подготовить новую версиюСоздают ключ, задают назначение и проверяют способ доставки.
- Переключить новые операцииПриложения начинают использовать новую версию с контролируемым переходом.
- Обработать старые данныеСохраняют необходимое расшифрование либо выполняют миграцию защиты.
- Закрыть старую версиюОграничивают дальнейшее применение, контролируют остаточные зависимости и аудит.
Продолжить изучение
Связанные термины
Частые вопросы
Период зависит от назначения, объёма операций, угроз и требований. Универсального срока для всех ключей нет.
После утечки достаточно дождаться плановой смены?Нет. Нужны срочное реагирование, оценка раскрытых данных и прекращение опасного использования.
Можно сразу удалить старый ключ?Сначала подтверждают, что это не уничтожит доступ к необходимым данным и не нарушит проверку сохранённых объектов.