CyberGlossary

Kryptografie

Masterschlüssel

Auch bekannt als: Root-Key, Master Encryption Key (MEK)

Definition

Hochwertiger langlebiger Schlüssel, aus dem andere Schlüssel abgeleitet werden oder mit dem andere Schlüssel direkt verschlüsselt werden.

Ein Masterschlüssel ist ein langlebiger Kryptoschlüssel, dessen Hauptaufgabe darin besteht, andere Schlüssel zu erzeugen, zu schützen oder einzupacken — nicht, Nutzerdaten direkt zu verschlüsseln. Typische Muster sind die Verwendung als Key Encryption Key (KEK), der kurzlebige Data Encryption Keys (DEKs) in Envelope-Encryption-Verfahren umschließt (AWS KMS, GCP KMS, Azure Key Vault), als Seed für eine hierarchische KDF (HKDF-"master secret", BIP32-Wallet-Masterkeys) oder als Datenbank-Masterschlüssel in TDE-ähnlichen Systemen. Da die Kompromittierung des Masterschlüssels alles betrifft, was er schützt, werden Masterkeys in HSMs, TPMs oder Secure Enclaves gespeichert, nur für kurze Kryptoperationen genutzt, gemäß dokumentierter Kryptoperioden rotiert und durch strenge Authentifizierungs- und Audit-Richtlinien geschützt.

Beispiele

  • Eine AWS-KMS-Customer-Master-Key (CMK) umschließt Datenschlüssel der serverseitigen S3-Verschlüsselung.
  • Ein hierarchisch deterministisches BIP32-Wallet leitet alle Konto-Schlüssel aus einem einzigen Master-Seed ab.

Verwandte Begriffe