AWS KMS anahtar rotasyonu anahtar malzemesini değiştirir ama mevcut şifreli metne dokunmaz

Rotasyonun gerçekte neyi değiştirdiği

dev.io'da—doğrusu dev.to'da—yayımlanan yakın tarihli bir teknik yazı, birçok AWS kullanıcısını sessizce düşürdükleri bir ayrımı ele alıyor: AWS KMS bir customer managed key'i rotasyona soktuğunda değişen tek şey, o anahtarın arkasındaki anahtar malzemesidir. Rotasyon sürecinin hiçbir adımı, depolanmış verilerinizi gezip onları yeniden yazmaz.

AWS dokümantasyonuna doğrudan atıfta bulunan yazıya göre, eski anahtar malzemesiyle şifrelenmiş metinlerin şifresi çözülebilmesi için o eski malzeme hâlâ gerekiyor. Rotasyon bundan sonra olanları etkiliyor—yeni işlemler yeni malzemeyi kullanabilir hale geliyor—daha önce yazılmış veriler ise tam olarak oldukları yerde kalıyor. Yazı, Amazon EBS'nin kendi yüzeyi için de aynı davranışı belgelediğini not ediyor: bir anahtarı rotasyona sokmak mevcut volume veya snapshot'ları yeniden şifrelemez.

Envelope encryption etrafında ek bir kafa karışıklığı katmanı var. KMS anahtarları, asıl payload'larınızı şifreleyen data key'leri üretir ve rotasyon, daha önce dağıtılmış data key'leri rotasyona sokmaz, o data key'lerin koruduğu verilere de dokunmaz. Pratik sonuç şu: yeni nesneler yeni malzemeyle korunurken, eski nesneler yıllarca eski yolu izlemeye devam edebilir.

Envanterle başlayın

Kapsam hakkında varsayımlarda bulunmadan önce yazı, bir KMS anahtarı altında şifreli metin depolayan her sistemi kataloğu öneriyor. Her biri için, verinin sahibinin kim olduğunu, nasıl şifrelendiğini, hangi anahtarın ve encryption context'in koruduğunu ve AWS'nin eski anahtar malzemesini ne kadar süre tuttuğunu kaydedin. Burada iki ayrım önemli: envelope encryption ile doğrudan KMS çağrıları arasındaki ayrım ve customer managed key ile AWS managed key arasındaki ayrım.

Encryption context, bir anahtarın amaçlanan kullanımını görünür kılabilir ve yanlışlıkla yeniden kullanımı önleyebilir. Grant'lar, talepte belirtilen anahtar-değer çiftleri yer aldığında kriptografik işleme izin veren bir kısıtlama taşıyabilir; bu da bir anahtarın ilgisiz bir iş yükü veya hesap yolu için kullanılma ihtimalini azaltır. Yazı, bunun içerik temelli bir politika olmadığını özenle belirtiyor—yalnızca çağıran tarafın beklenen context'i sağladığını kanıtlıyor; dolayısıyla bu context bilinçli bir şekilde seçilmeli ve loglanmalı.

Neden rotasyona soktuğunuzu bilin

Yazı, ekipleri birbirinden çok farklı üç motivasyonu ayırmaya teşvik ediyor. Rutin anahtar hijyeni, her nesneyi yeniden şifrelemeden de tamamen kabul edilebilir olabilir. Bir mevzuat gereksinimi belirli bir takvim dayatabilir ama depolanmış veriler hakkında hiçbir şey söylemeyebilir. Şüphelenilen bir ele geçirme ise bambaşka bir konu; tam bir yeniden şifreleme kampanyası, kimlik bilgisi rotasyonu, eski erişim yollarının devre dışı bırakılması ve verinin her kopyasının gerçekten taşındığının doğrulanmasını gerektirebilir.

Geri yüklemeleri bozmadan göç etmek

Yeni bir KMS anahtarına manuel rotasyon için yazının önerisi, eski veriler orijinal anahtara bağımlı kaldığı sürece o anahtarı etkin tutmak ve geçmiş nesnelerin, yedeklerin, logların ve kopyaların şifre çözme işlemlerini aktif olarak test etmektir. Gerektiğinde şifresi çözülemeyen yedekler koruma değildir—keşfedilmeyi bekleyen bir olaydır.

Şifreli metni taşırken, veriyi uygulamada çözüp tekrar yazmak yerine sağlayıcının desteklediği yeniden şifreleme (re-encryption) işlemlerini kullanın. Göçü nesne veya sistem sayılarıyla takip edin, sonrasında okumaları doğrulayın ve göç ettirilemeyen her şeyi açıkça hariç tutup ona bir sahip atayın. Yalnızca tüm bağımlı veri taşındıktan sonra eski erişim kullanımdan kaldırılmalı; üstelik o zaman bile bir rotasyon olayının işi bitirdiği varsayımıyla değil, servisin kurtarma gereksinimlerine göre.

Yetkilendirme katmanını izleyin

İzleme, göçün kendisinin yanında yer almalıdır. Beklenmeyen decrypt çağrıları, sürpriz grant'lar veya bir anahtar politikasındaki değişiklikler, anahtarı yalnızca onaylı iş yüklerinin kullandığı varsayımını geçersiz kılabilir. Taşınan veri ve etrafındaki izinler birlikte kontrol edilmelidir.

Neden önemli

Yazının temel dersi şu: rotasyon ve yeniden şifreleme, farklı kanıt izleri olan farklı kontrollerdir. Rotasyon anahtar malzemesinin yaşam döngüsünü yönetir; yeniden şifreleme ise bir veri göçü çalışmasıdır. Otomatik rotasyon takvimini, eski şifreli metnin yeni kriptografik malzemeye taşındığının kanıtı olarak gören ekipler yanlış bir güven duygusu taşıyor—potansiyel olarak açığa çıkmış malzemeyle şifrelenmiş veri, biri bilinçli olarak göç ettirene kadar öyle kalıyor. Yıllık rotasyona dayanan uyumluluk anlatıları için ise politika hikâyesi ile gerçek kriptografik durum arasındaki uçurum büyük olabilir ve bu uçurumu kapatmak, hiçbir rotasyon ayarının sizin yerinize yapmayacağı envanter, göç çalışması ve izleme gerektiriyor.