Rotazione delle tue chiavi root

È consigliabile ruotare le chiavi root (ovvero, creare una nuova versione della chiave) su base regolare. Le rotazioni regolari riducono il cosiddetto "periodo di crittografia" della chiave e possono essere utilizzate anche in casi specifici come il turnover del personale, i malfunzionamenti dei processi o il rilevamento di un problema di sicurezza.

Se si sospetta che una chiave sia stata compromessa, disabilitarla il prima possibile. Per ulteriori informazioni, consulta Disabilitazione delle chiavi root.

Si ricordi che le chiavi radice nello standard “ Key Protect ” non vengono utilizzate solo per creare chiavi di crittografia dei dati (DEK), ma vengono anche impiegate in combinazione con una chiave master (protetta dall’ IBM e tramite un modulo di sicurezza hardware) per creare un “wrap” di una DEK. La chiave di crittografia dei dati avvolta (WDEK) così ottenuta protegge la DEK, che viene utilizzata per crittografare i dati. Se un utente ha una DEK che desidera utilizzare, tale chiave può essere inoltrata durante la creazione di una WDEK utilizzando la chiamata wrap. Se non viene specificato alcun DEK, Key Protect crea il DEK per l'utente.

Ruotare a una nuova versione della chiave root non crea immediatamente un nuovo WDEK, ma significa che al successivo ritorno a capo e al successivo ritorno a capo avviato dall'utente, la nuova chiave root verrà utilizzata per creare il nuovo WDEK. Si noti che il nuovo WDEK può anche essere unwrapped e utilizzato per leggere i dati codificati con le versioni precedenti del DEK, e che le vecchie versioni del WDEK possono ancora essere unwrapped per ottenere il DEK.

Ogni rotazione crea una nuova "versione" della chiave, che viene addebitata sul conto IBM Cloud per ogni versione della chiave. Per ulteriori informazioni, consulta Prezzi.

Rotazione manuale o automatica

Con Key Protect è possibile ruotare solo le chiavi radice. Le chiavi standard non possono essere ruotate.

Le chiavi root possono essere ruotate manualmente o secondo una pianificazione impostata dal proprietario della chiave. L'opzione che scegli dipende dalle tue preferenze e dalle esigenze del tuo caso d'uso.

Configurazione di una politica di rotazione

L'opzione più semplice per la rotazione delle chiavi consiste nell'impostare un intervallo di rotazione automatico: in questo modo le chiavi root vengono aggiornate senza che l'utente debba intervenire. Queste rotazioni possono essere impostate a intervalli di 30 giorni (in altre parole, ogni 30 giorni, o 60 giorni, o 90 giorni, fino a 12 mesi, o 720 giorni). Questa politica può essere gestita dall'interfaccia utente o tramite l'API Key Protect. Per ulteriori informazioni su come impostare una politica di rotazione, consulta la sezione " Impostazione di una politica di rotazione ". Il processo può essere configurato anche tramite la CLI.

Per ruotare una chiave inizialmente importata nel servizio, è necessario generare e fornire un nuovo materiale di chiave per la chiave stessa ad ogni rotazione. Di conseguenza, le politiche di rotazione automatica non sono disponibili per le chiavi che hanno importato il materiale della chiave. Le chiavi root importate devono quindi essere ruotate manualmente. Tieni presente che i metadati per le chiavi importate, come l'ID chiave, non cambiano quando la chiave viene ruotata, proprio come con una chiave generata con Key Protect.

Rotazione manuale delle chiavi

In qualità di amministratore della sicurezza, potresti voler avere un maggiore controllo sulla frequenza di rotazione delle tue chiavi root. Se non vuoi impostare una politica di rotazione automatica per una chiave, puoi creare manualmente una nuova chiave per sostituirne una esistente e poi aggiornare le tue applicazioni in modo che facciano riferimento alla nuova chiave.

To simplify this process, you can use Key Protect to rotate the root key at any time. In this scenario, Key Protect creates and replaces the key on your behalf with each rotation request. The metadata and key ID of the key will not change. For more information about to manually rotate a key, check out [Manually rotating keys](/docs/key-protect?topic=key-protect-rotate-keys).

La rotazione manuale di una chiave root non disturba alcuna politica di rotazione che potrebbe attualmente esistere per la chiave. Di conseguenza, una buona opzione è quella di impostare una politica di rotazione regolare e quindi aggiornare manualmente le chiavi più spesso se necessario.

Con quale frequenza devono essere ruotate le chiavi?

Dopo che hai generato una chiave root in Key Protect, decidi quanto spesso viene ruotata. La procedura migliore è quella di ruotare regolarmente le chiavi.

Opzioni di frequenza di rotazione dei tasti in Key Protect
Tipo di rotazione Frequenza Descrizione
Rotazione della chiave basata sulla politica Intervalli di 30 giorni (in altre parole, ogni 30 giorni, o 60 giorni, o 90 giorni, ecc) Scegli un intervallo di rotazione compreso tra uno e 12 mesi per la tua chiave radice, in base alle tue esigenze di sicurezza. Una volta impostata una politica di rotazione per una chiave radice, il conteggio del tempo inizia immediatamente a partire dalla data di creazione iniziale della chiave. Se si sceglie in qualsiasi momento di ruotare manualmente questa chiave, il periodo di rotazione viene reimpostato in base a tale rotazione.
Rotazione manuale delle chiavi Fino a una rotazione per ora Key Protect consente non più di una rotazione all'ora per ciascuna chiave.

È possibile conoscere l'ultima data in cui una chiave è stata ruotata utilizzando il campo lastRotateDate disponibile nelle API come getkey, getkeymetadata, e getkeys.

Come funziona la rotazione delle chiavi

Durante una rotazione della chiave root, la chiave rimane in stato attivo. Tuttavia, le versioni precedenti sono disattivate e possono essere considerate "ritirate". Questa ultima versione della chiave root verrà quindi utilizzata per tutte le azioni future. Mentre gli unwraps possono ancora essere eseguiti con WDEK che sono stati generati con una versione precedente della chiave root, wraps e rewraps utilizzano la versione più recente della chiave root. Si noti che una versione precedente della chiave può essere utilizzata solo per decriptare e accedere ai dati crittografati utilizzando quella specifica versione della chiave o versioni precedenti. Una vecchia versione di una chiave root non può essere utilizzata per creare una nuova DEK o per impacchettare la DEK e creare una WDEK. Per ulteriori informazioni, consulta Gestione delle versioni delle chiavi ritirate.

Per ulteriori informazioni sul funzionamento della rotazione della chiave, consulta Descrizione del processo di rotazione della chiave.

Per abilitare le opzioni di rotazione delle chiavi per il servizio dati IBM Cloud, è necessario che il servizio dati sia integrato con Key Protect. Consultare la documentazione relativa al servizio dati “ IBM Cloud ” oppure il sito Dai un'occhiata al nostro elenco di servizi integrati per saperne di più.

Monitoraggio delle rotazioni delle chiavi

Dopo aver ruotato una chiave root, Key Protect notifica ai servizi di dati IBM Cloud che utilizzano la chiave per proteggere i tuoi dati. Questa notifica attiva le azioni in tali servizi per riavvolgere le DEK (data encryption keys) associate della chiave con l'ultima versione della chiave.

Dopo che Key Protect ha ricevuto la conferma da questi servizi che tutti i DEK associati sono stati riavvolti, l'utente riceve un evento nell'interfaccia utente di IBM Cloud Logs per indicare che la rotazione è stata completata.

Gestione delle versioni delle chiavi ritirate

Key Protect crea una nuova versione della chiave root con ogni richiesta di rotazione. Il servizio ritira le vecchie versioni della chiave e le conserva fino a quando la chiave non viene eliminata. Le versioni delle chiavi ritirate non possono più essere utilizzate per avvolgere le chiavi, ma rimangono disponibili per le operazioni di srotolamento.

Se Key Protect rileva che stai utilizzando una versione obsoleta della chiave root per decomprimere i DEK, il servizio fornisce un DEK appena compresso basato sulla versione più recente della chiave.

Reimpacchettamento dei dati dopo la rotazione di una chiave

Poiché le versioni della chiave ritirate possono essere utilizzate solo per accedere alle DEK più vecchie, per proteggere il flusso di lavoro di crittografia envelope, riavvolgi le tue DEK dopo aver ruotato una chiave in modo che i tuoi dati inattivi siano protetti dalla chiave più recente.

In alternativa, se Key Protect rileva che si sta utilizzando una versione della chiave non più in uso per decifrare una DEK, il servizio ricrittografa automaticamente la DEK e restituisce una chiave di crittografia dei dati avvolta (WDEK) basata sulla chiave radice più recente.

Conservare e utilizzare il nuovo WDEK per future operazioni di decompressione, in modo che i DEK siano protetti con la versione più recente della chiave.

Per ulteriori informazioni su come utilizzare l'API Key Protect per reimpacchettare le chiavi di crittografia dei dati, vedi Reimpacchettamento delle chiavi.

Descrizione del processo di rotazione della chiave

Dietro le quinte, l'API Key Protect guida il processo di rotazione della chiave. Per scoprire come utilizzare l'API di Key Protect per ruotare le chiavi, consulta la sezione " Rotazione delle chiavi ".

Il seguente diagramma mostra una vista contestuale di come vengono ruotate le chiavi.

Il diagramma mostra una rappresentazione contestuale della rotazione della chiave.
Visualizzazione contestuale della rotazione dei tasti.

Ad ogni richiesta di rotazione, Key Protect crea una nuova versione della chiave root associando il materiale della chiave alla tua chiave.

Il diagramma mostra una micro vista dello stack di chiavi.
Vista micro di una pila di chiavi.

Le chiavi non ruotano esattamente alla stessa ora del giorno in cui è stata creata la chiave. Cioè, se una chiave è stata originariamente creata alle 8 a.m., non sarà necessariamente ruotata alle 8 a.m. il giorno in cui è prevista la rotazione. Invece, la rotazione può avvenire in qualsiasi momento durante una finestra di 24 ore.

Operazioni successive