Daten mit Envelope-Verschlüsselung schützen

Key Protect verwendet die Envelope-Verschlüsselung als Unterstützung beim Schutz Ihrer Key Protect- Daten abruft. Bei der Envelope-Verschlüsselung werden Ihre Daten mit einem Chiffrierschlüssel (Data Encryption Key) verschlüsselt, der dann mit einem Rootschlüssel verschlüsselt wird. In diesem Abschnitt wird der Prozess der Envelope-Verschlüsselung und die Vorgehensweise zur Verwendung von Key Protect zum Verschlüsseln und Entschlüsseln Ihrer Daten beschrieben.

Bei der Arbeit mit sensiblen Daten ist es wichtig, fortgeschrittene Verschlüsselungsverfahren zu verwenden, um einen Datenverstoß zu verhindern. Wenn Sie über große Mengen vertraulicher Daten verfügen, ist es oft hilfreich, ein Schlüsselverwaltungssystem zu verwenden, um die Sicherheit Ihrer Daten zu gewährleisten. Key Protect verwendet das Verschlüsselungsverfahren für Umschläge, um Ihre Daten widerstandsfähig zu halten. Bei der Envelope-Verschlüsselung werden Ihre Daten mit einem Chiffrierschlüssel (Data Encryption Key) verschlüsselt, der dann mit einem Rootschlüssel verschlüsselt wird. Bei der Envelope-Verschlüsselung werden verschlüsselte Schlüssel, Daten - Chiffrierschlüssel und Rootschlüssel, verwendet, um Ihre sensiblen Daten zu schützen.

Stellen Sie sich vor, Sie planen, einen Brief an einen Kollegen zu schicken. Sie wollen hochsensible Informationen besprechen und generieren daher einen geheimen Code (Data Encryption Key), mit dem Sie die Nachricht in den Brief schreiben (verschlüsseln). Der Brief wird an eine Mailbox (eingeschlossener Datenverschlüsselungsschlüssel) gesendet, auf die nur von Personen mit einer Kopie des Mailboxschlüssels (Rootschlüssel), einschließlich des Mitarbeiters, zugegriffen werden kann. Jeder, der keine genaue Kopie des Schlüssels hat, kann das Postfach nicht öffnen und den Inhalt sehen. Wenn Ihr Kollege den Schlüssel zum Entsperren (Entschlüsseln) des Postfachs verwendet, muss er den Geheimcode kennen, in dem der Brief geschrieben ist, um die Nachricht zu verstehen. Jeder, der den Geheimcode nicht kennt, wird daraus schließen, dass der Brief eine zufällige Mischung von Zeichen ist, und den Inhalt des Briefes nicht verstehen können.

Datenverschlüsselungsschlüssel (Data Encryption Keys, DEKs) sind für die Verschlüsselung Ihrer Daten konzipiert und können von Ihrem Service oder einem IBM Cloud-Service generiert und verwaltet werden.

Die Envelope-Verschlüsselung bietet mehrere Vorteile für den Schutz Ihrer Daten:

• Schutz durch eine Kombination mehrerer Algorithmen Die Envelope-Verschlüsselung nutzt die besten Vorteile von symmetrischen und öffentlichen Schlüsselalgorithmen, um Ihre Schlüssel sicher zu halten.
  1. Symmetrische Schlüsselalgorithmen arbeiten schneller, sind besser skalierbar und sicherer als Algorithmen mit öffentlichem Schlüssel. Öffentliche Schlüsselalgorithmen verwenden komplizierte Mathematik, die den Rechenaufwand erhöhen, vor allem, wenn es um große Datenmengen geht. Algorithmen mit öffentlichem Schlüssel sind auch anfälliger für Brute-Force-Angriffe, da sie eine für Hacker leicht erkennbare Komponente des privaten Schlüsselalgorithmus enthalten. Symmetrische Schlüsselalgorithmen benötigen weniger Rechenleistung und sind aufgrund ihrer weniger erkennbaren Struktur resistent gegen Brute-Force-Angriffe.
  2. Algorithmen mit öffentlichem Schlüssel ermöglichen im Vergleich zu symmetrischen Schlüsselalgorithmen eine einfachere Zugangskontrolle, wenn der Zugang zu Schlüsseln auf individueller Ebene gewährt wird. Symmetrische Schlüsselalgorithmen haben ein Schlüsselaustauschproblem, das heißt, dass der Zugriff auf einen geheimen Schlüssel nur durch einen sicheren Transfer ausgetauscht werden kann. Durch die Verwendung von Algorithmen mit öffentlichem Schlüssel können verschlüsselte DEKs (wDEKs) gemeinsam genutzt und nur von denjenigen entschlüsselt werden, die Zugang zum verschlüsselnden Rootschlüssel haben, wodurch das Schlüsselaustauschproblem symmetrischer Algorithmen gemildert wird.
• Einfachere Schlüsselverwaltung Sie können mehrere DEKs unter einem Singular-Root-Schlüssel verschlüsseln, der die Anzahl der Schlüssel minimiert, die Sie möglicherweise in einem Schlüsselverwaltungsservice verwalten müssen. Sie können auch Zeit bei der Schlüsselpflege sparen, indem Sie nur Ihre Rootschlüssel rotieren, anstatt alle Ihre DEKs zu rotieren und neu zu verschlüsseln. Beachten Sie, dass in Fällen wie Personalfluktuation, Prozessfehlfunktionen oder Erkennung eines Sicherheitsproblers empfohlen wird, alle DEKs und Rootschlüssel, die dem Vorfall zugeordnet sind, zu drehen.
• Schutz der Datenschlüssel Da Ihre DEKs von einem Root-Schlüssel umhüllt sind, müssen Sie sich keine Gedanken darüber machen, wie Sie den verschlüsselten Datenschlüssel speichern. Auf diese Weise können Sie die wDEK zusammen mit den zugehörigen verschlüsselten Daten speichern.

Key Protect verwendet den Algorithmus Advanced Encryption Standard im Galois/Counter Mode (AES GCM), um DEKs einzuschließen und deren Wrapping aufzuheben. Nicht importierte CRKs werden mit 256-Bit-Schlüsselmaterial erstellt. Importierte CRKs können 128-, 192- oder 256-Bit-Schlüsselinformationen enthalten.