Entry № 662
密钥轮换
密钥轮换 是什么?
密钥轮换定期用新密钥替换旧密钥的运维实践,用以限制单一密钥所保护的数据量并控制泄露影响。
密钥轮换是定期生成新的加密密钥、退出旧密钥的运维实践,同时保留足够的重叠期以解密此前受保护的数据。它限制了被盗一把密钥后攻击者可破解的密文或签名数据量,支持 NIST SP 800-57 等密钥有效期(cryptoperiod)策略,允许迁移到更强算法,并被 PCI DSS、FIPS 140-3、SOC 2 等标准强制要求。常见模式包括:对密钥进行版本化(v1、v2…)、采用 "信封加密" 由稳定的密钥加密密钥(KEK)包装可轮换的数据加密密钥(DEK),以及通过 AWS KMS、Azure Key Vault、Google Cloud KMS 等服务实现自动轮换。轮换必须配合监控、安全销毁旧密钥以及失败回滚计划。
● 示例
- 01
AWS KMS 每年轮换 CMK 底层密钥材料,同时保持 Key ID 不变。
- 02
对 API 使用的 HMAC 签名密钥每 90 天轮换一次,并保留 7 天的过渡期。
● 常见问题
密钥轮换 是什么?
定期用新密钥替换旧密钥的运维实践,用以限制单一密钥所保护的数据量并控制泄露影响。 它属于网络安全的 密码学 分类。
密钥轮换 是什么意思?
定期用新密钥替换旧密钥的运维实践,用以限制单一密钥所保护的数据量并控制泄露影响。
如何防御 密钥轮换?
针对 密钥轮换 的防御通常结合技术控制与运营实践,详见上方完整定义。
密钥轮换 还有哪些其他名称?
常见的别称包括: 密钥有效期轮换, 密钥更替。