nøkkelrotasjon

Nøkkelrotasjon er praksisen med å skifte kryptografiske nøkler regelmessig for å begrense konsekvensene av nøkkellekkasje og redusere tidsvinduet for misbruk. Ved rotasjonen etableres vanligvis ny nøkkelmateriale som brukes framover, mens eksisterende data fortsatt kan dekrypteres i en overgangsperiode. Målet er å redusere risikoen for at en kompromittert nøkkel gir tilgang til sensibel data over lang tid.

I praksis deles nøklene ofte inn i ulike lag: dataenøkler (DEK) som brukes til selve krypteringen av data, og nøkkelen til nøklene (KEK eller masterkey) som beskytter DEKene. En vanlig tilnærming er envelope encryption: data krypteres med DEK, og DEK krypteres med KEK. I asymmetrisk konfigurasjon roteres offentlige og/private nøkler med tilsvarende livssyklus. Nøklene lagres i sikre hvelv som HSM-er eller skybaserte nøkkelhvelv, med kontrollert tilgang og logging.

Livssyklus og prosess bør inkludere definert rotasjonsfrekvens, automatisert nøkkelgenerering, sikker distribusjon og deproteksjon av gamle nøkler, samt revisjon og gjenoppretting. Det må være støtte for versjonering av nøkler og overgangsperioder der både gamle og nye nøkler kan brukes.

Beste praksis inkluderer automatisert rotasjon, minste privilegier, robust nøkkellagring, rutiner for nøkkelavslutning og avvik, samt testing av gjenoppretting og datamigrering ved skifte av nøkkel. Overholdelse av standarder som NIST SP 800-57 og ISO/IEC 27001 gir rammeverk for livssyklus, styring og dokumentasjon av nøkkelhåndtering.