Avinsalauksen

Avinsalauksen on kryptografian termi, jolla tarkoitetaan kryptografisten avainten suojaamista salauksella. Sen tarkoituksena on estää pääsy kriittisiin avaimiin, jotka suojaavat muita tietoja. Tyypillisesti avain voidaan salata toiseen avaimen avulla, jolloin puhutaankin avainpakkaamisesta tai avainsalauksen toteutuksesta.

Käytännössä avainsalaus liittyy niin sanottuun envelope encryptioniin: data salataan ensin data-avaimella (DEK), ja tämä data-avain salataan edelleen toisen avaimen avulla, esimerkiksi avaimen salauksella (KEK). Tällainen kaksitasoinen suojaus helpottaa avainten hallintaa ja kierrätystä sekä parantaa turvallisuutta, kun pääsy tärkeisiin avaimiin voidaan hallita erikseen.

Suositummia toteutusmenetelmiä ovat AES-wrapping-tekniikat (esimerkiksi AES Key Wrap -algoritmit, RFC 3394 ja RFC 5649) sekä muut autentikoidut salausmenetelmät, jotka tarjoavat sekä salauksen että eheyden varmistamisen. Avainsalauksen käyttökohteita ovat erityisesti hakukoneiden, pilvipalvelujen ja yritysratkaisujen avainhallinta, HSM-ympäristöt sekä pilvi/KMS-integraatiot, joissa avaimia käsitellään ja suojataan erillään pääsyoikeuksista.

Keskeisiä huomioita ovat avainten elinkaari, kierrätys, käyttöoikeudet ja auditointi. Avainsalauksen turvallisuus riippuu pitkälti KEK:n suojauksesta sekä asianmukaisesta pääsynhallinnasta ja vastuullisesta hallintakäytännöstä.