Salausarkkitehtuureja

Salausarkkitehtuureja tarkoittaa tietojärjestelmien salauksen toteutuksen ja hallinnan arkkitehtuurien suunnittelua. Niihin liittyvät salausalgoritmit, turvalliset protokollat sekä avainhallinta, joiden avulla tiedot pysyvät luottamuksellisina ja suojattuina.

Arkkitehtuurissa on usein erotteluita data at rest (levyllä oleva tieto) sekä data in transit (siirrettävä tieto). Yleisiä malleja ovat end-to-end-salaus, jossa tiedot pysyvät salattuina koko siirtovälin, sekä TLS-pohjainen salaus siirron ja palvelinpuolen suojaamiseen. Lisäksi voidaan toteuttaa sekä asiakas- että palvelinpuolen salaus riippuen käyttötapauksesta ja hallinnan vaatimuksista.

Avainhallinta on keskeinen osa salaussovelluksia. Siihen kuuluvat avainten luominen, säilytys, kierto ja käyttöoikeudet. Hyviä käytäntöjä ovat avainvaihto, kierto sekä toteutukset kuten hardware security module (HSM) tai pilvipohjaiset KMS-palvelut, sekä PKI-sertifikaatit ja avainten turvallinen jakelu.

Perus kryptografiset työkalut koostuvat symmetrisestä salauksesta (esim. AES), epäsymmetrisestä salauksesta (esim. RSA, ECC), hajautusfunktioista ja digitaalista allekirjoituksesta. Avainten vaihtoa ja turvallisia yhteyksiä tuetaan protokollilla kuten TLS sekä soveltuvilla avaimenvaihtomenetelmillä kuten Diffie–Hellman.

Suunnittelun tavoitteina ovat luottamuksellisuus, eheys ja autentikointi sekä mahdollisuuksien mukaan pitkäaikainen vastustuskyky (forward secrecy) ja hallittavuus. Arviointi huomioi uhkakuvat kuten salakuuntelu, muokkaus ja toistot, sekä noudattaa soveltuvia standardeja kuten TLS, S/MIME/PGP, sekä FIPS 140-2 -vaatimuksia.

Käyttökohteita ovat turvalliset viestintäpalvelut, pilvitallennus, tietokantapalvelut ja VPN-ratkaisut. Salausarkkitehtuurit kehittyvät jatkuvasti vastatakseen uusille uhkille, lainsäädännön muutoksiin ja teknologian edistykseen.