基本概念

最近更新时间:2023-10-09 11:06:11

我的收藏
本文主要罗列了密钥管理系统(KMS)的基本概念。

密钥生命周期

密钥生命周期指密钥的生成、存储、分发、导入、导出、使用、恢复、归档与销毁等一系列环节,其中密钥管理系统 KMS 提供密钥全生命周期管理,确保密钥以安全的方式完成该系列操作,防止密钥被泄露。

对称加解密

对称加密指采用单钥密码系统的加密方法,同一个密钥可以同时用作信息的加密和解密。
说明:
密钥管理系统(KMS)提供了对称加解密方案,详细请参见 对称加解密

非对称加解密

非对称加解密需要两个密钥:公开密钥和私有密钥。公钥和私钥是一对密钥,信息传送者使用公钥对数据进行加密,信息接受者只有用对应的私钥才能解密。另一方面,信息传送者可使用私钥对机密信息进行签名,信息接受者使用对应的公钥对接收的数据进行验签。
说明:
密钥管理系统(KMS) 也提供了非对称加解密方案,详情请参见 非对称加解密

用户主密钥(CMK)

用于保护密钥管理系统(KMS)用户敏感数据和数据加密密钥(DEK),由密钥管理系统调用硬件密码机产生,并且被 Domain Key 加密保护。CMK 仅能通过加密机进行加解密操作。

数据加密密钥(DEK)

信封加密场景中,DEK 用于直接加密解密用户数据,由密钥管理系统调用硬件密码机产生,并且被用户主密钥(CMK)加密后以密文及明文的形式返回给应用系统,业务侧通过在内存中的 DEK 明文进行本地高性能加解密。

白盒密钥

指通过白盒密码技术保障安全性下的密钥,白盒密钥用于保护端上的敏感根密钥信息,例如 API SecretKey,用户内部系统使用的鉴权密钥或 token,其它本地敏感根密钥信息等。
说明:
密钥管理系统(KMS)提供了白盒密钥管理的解决方案,详情请参见 白盒密钥管理

敏感数据

敏感数据是指敏感、隐私的信息内容,例如密钥、证书、配置文件、银行账号、身份证号码等。

硬件安全模块

硬件安全模块(Hardware Security Module,HSM) 是一种用于保护和管理强认证系统所使用的密钥,并同时提供相关密码学操作的计算机硬件设备 。KMS 底层使用商用密码认证或 FIPS-140-2 认证的硬件安全模块 HSM 来保护密钥的安全,确保密钥的保密性、完整性和可用性。

BYOK

BYOK(Bring Your Own Key)是指用户可以自行导入密钥材料至用户主密钥中,详情请参见 外部密钥导入