021-54410609
本文介绍了NIST所建议的加密密钥类型和加密周期，并基于已证明的密钥管理最佳实践对其进行了分类。它概述了有关何时以及如何使用密钥来保护数据的建议，并说明了如何选择和实施适当的加密期限。
密钥类型
在最高级别上，有两种主要类型的加密密钥：对称密钥和非对称密钥。后者分为与数学相关的对，包括私钥和公钥。密码应用程序的安全性关键取决于对称密钥，而私有密钥始终保持秘密。公用密钥-顾名思义-不是秘密。
再深入一点，NIST（美国国家标准技术研究院）建议将密钥分类为私有、公共或对称密钥，以及如何使用它们。下面的列表根据密钥的类型和用法概述了NIST密钥：
私人签名密钥。这些密钥是非对称密钥对的私有/安全敏感组件，其中私有签名密钥用于生成数字签名，这可能会产生长期影响。如果正确使用，数字签名将提供完整性认证，源认证，并支持文档，消息和存储的数据的不可否认性。
公开签名验证密钥。作为非对称密钥对的公共“部分”，公共签名验证密钥由公共密钥算法用于验证数字签名。
对称认证密钥。这些密钥与对称密钥算法一起使用，以为消息，文档，存储的数据和通信会话提供完整性认证和源认证。单个密钥用于身份验证和加密的操作模式的身份验证和加密。
专用认证密钥。这是非对称密钥对的私钥部分，与公钥算法一起使用以在验证通信会话时提供身份保证。
公用认证密钥。此密钥是非对称密钥对的公共密钥，用于在建立经过身份验证的通信会话时确保始发实体的身份。
对称的数据加密密钥。该密钥用于通过对称加密保护数据的机密性。相同的密钥也用于解密。
对称密钥包装密钥。这些密钥也称为密钥加密密钥（KEK），用于加密其他密钥。
对称随机数生成密钥。此类密钥用于生成随机数或位。
对称主密钥。也称为密钥派生密钥，此密钥用于派生其他对称密钥。
私钥-传输密钥。此密钥是非对称密钥对的私有一半，该非对称密钥对用于解密已由相应的公共密钥加密的密钥。
公钥-传输密钥。该密钥是非对称密钥对的公共部分，该非对称密钥对用于使用公共密钥算法加密密钥。顾名思义，这些密钥在跨网络传输时用于保护其他密钥。
对称密钥协商密钥。该密钥用于通过对称密钥协商算法建立密钥。
私用静态密钥 - 协议密钥。该密钥是非对称密钥对中的长期专用密钥，用于建立密钥，有时还用于建立其他密钥材料。
公共静态密钥协商密钥。该密钥是非对称密钥对中的长期公共密钥，用于建立密钥，通常还用于建立其他密钥材料。
临时密钥私密协议密钥。此密钥是非对称密钥对的短期私钥，仅可使用一次来建立一个或多个密钥。
公用临时密钥协议密钥。该密钥是非对称密钥对的短期公共密钥，仅可使用一次来建立一个或多个密钥。
对称授权密钥。该密钥为使用对称密码方法的实体提供特权。监视和授予访问特权的实体知道授权密钥。
私人授权密钥。这是用于为实体分配特权的非对称密钥对的私钥。
公共授权密钥。这是非对称密钥对的公用密钥，用于验证知道关联的专用授权密钥的实体的特权。
无论分类如何，单个密钥仅应用于一个目的，无论是用于加密，认证，数字签名，密钥包装还是随机位生成。这是因为对两个不同的加密过程使用密钥可能会削弱该过程提供的安全性。
此外，并非所有键都能很好地协同工作，并且可能彼此矛盾。通过将单个密钥的使用限制为仅用于其单个预期用途，可以限制如果密钥遭到破坏时的损坏。
加密期
加密期限是指授权使用特定密钥的时间长度。正确定义的加密期限应限制：
受其密钥进行密码分析保护的可用信息量
单个密钥被泄露时的暴露量
使用特定算法
尝试渗透保护密钥免遭未授权泄露的机制的时间
可能通过向未授权实体泄露关键材料而无意中破坏信息的时期
密集计算密码分析攻击可用的时间
还有一些影响加密周期长度的风险因素，例如：
加密机制的优势
机制的体现
操作环境
交易数或信息流量
数据的安全寿命
安全功能
重新键入方法
密钥更新
密钥副本数量和副本分发
共享公用密钥的网络节点数
人员流失
对手对信息的威胁程度
从新技术或破坏性技术到信息的威胁
根据NIST密钥管理建议，较短的加密周期可以增强安全性，并使加密算法不易受到密码分析的影响。通常，使用的密钥越多，它越容易受到攻击，泄露的数据越多，因此确保在需要时更换密钥非常重要（此过程称为更新或循环）。
NIST建议大多数加密周期的寿命约为一到两年。加密周期的长度取决于密钥的类型，使用环境以及受保护数据的特征。在某些情况下，建议的加密时间可能会更长，例如使用私有签名密钥的时间为一到三年，或者可能仅限于单次通信，例如对称数据加密密钥的情况。
管理密钥生命周期的需求
NIST框架为开发加密密钥管理策略提供了有用的指导，以保护您的数据。根据受保护的数据，某些行业标准（例如PCI DSS）将适用于密钥的安全管理，并且可能还具有明确定义的必须遵守的加密期限。为了实现对此类标准或法规的遵守，重要的部分是能够证明您始终按照密钥管理策略中的规定执行密钥的加密期限。
对称密钥和非对称密钥都将具有各种属性，例如长度和加密周期，具体取决于其预期功能。无论其属性和预期功能如何，都应使用适当的加密密钥管理系统在整个生命周期内对所有密钥进行适当管理，以避免滥用（例如，将密钥用于错误目的或用于两个不同目的）或损害的风险。
揽阁信息可提供的部分安全产品和解决方案信息
联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：
-
数据库访问控制：揽阁LGPAC系统
-
通用HSM：Luna HSM、ProtectServer HSM
-
支付HSM：payShield 10K
您还可以得到揽阁信息所提供的优质服务。
揽阁信息 · 值得您信赖的信息安全顾问！
联系我们
免费试用留言
客服电话