nyckelomslag

Nyckelomslag, på engelska key wrapping, är en kryptografisk teknik för att skydda överföring och lagring av nycklar genom att kapsla in en nyckel (datanyckel, DEK) i en annan nyckel (nyckelomslagsnyckel, KEK). Den omslutna nyckeln kan bara avkrypteras av den som har KEK, vilket gör det möjligt att transportera eller lagra nycklar utan att själva nyckeln avslöjas.

Principen innebär att DEK används för att kryptera data och samtidigt skyddas av att DEK krypteras med KEK. Det resulterande omslaget består av den krypterade DEK och ofta en integritetskontroll. När det behövs används KEK för att avkryptera (unwrap) och återfå DEK.

Användningsområden inkluderar säker nyckeltransmission mellan system eller organisationer, lagring av nycklar i hårdvarusäkerhetsmoduler (HSM) och molnbaserad nyckelhantering där kuvertkryptering ofta används. Genom nyckelomslag kan nycklar skyddas i vila och under transport samtidigt som central nyckelhantering möjliggörs.

Standarder och tekniker inkluderar AES Key Wrap (RFC 3394) och AES Key Wrap with Padding (RFC 5649). Andra metoder förekommer i specialiserade sammanhang och kan använda olika algoritmer och struktur för själva omslaget.

Fördelar är ökad säkerhet vid lagring och överföring av nycklar samt möjligheten till effektiv nyckelhantering över flera system. Begränsningar inkluderar beroende av KEK:s skydd, behov av noggrann nyckelhantering och viss extra beräkningskostnad vid wrap/unwrap.

Se även: nyckelhantering, HSM, kuvertkryptering.