Computer >> Hướng Dẫn Máy Tính >  >> Kết Nối Mạng >> An Ninh Mạng

Khóa K (Key) trong mã hóa bảo mật mạng: DEK, KEK, KMS & Quản lý khóa

Giải mã "K" trong mã hóa: DEK, KEK, KMS và Vòng đời khóa

Trong mật mã học và bảo mật mạng, K thường chỉ Key (Khóa). Bài viết làm rõ các loại khóa, mối quan hệ DEK/KEK, và quản lý vòng đời khóa (Key Lifecycle Management).

1. Ba loại mã hóa chính & Vai trò của Khóa

Loại mã hóaSố khóaThuật toán điển hìnhDùng choVí dụ Khóa (K)
Đối xứng (Symmetric)1 khóa bí mật (Shared Secret Key - K)AES, ChaCha20, DES (cũ), 3DES (cũ)Mã hóa dữ liệu lớn (Bulk encryption): File, Disk, Database, TLS Record Layer, VPN, Zip/AES.K = Khóa AES-256 (32 bytes)
Bất đối xứng (Asymmetric / Public Key)Cặp khóa: Public Key (K_pub) + Private Key (K_priv)RSA, ECC (ECDSA, EdDSA), DH/ECDH, Kyber (PQC)Trao đổi khóa (Key Exchange), Chữ ký số (Digital Signature), Xác thực, Mã hóa dữ liệu nhỏ (Key wrapping).K_priv = Khóa riêng RSA-2048/ECDSA-P256
Hash / MAC (Không phải mã hóa - Không thể giải mã)Không có khóa (Hash) / 1 khóa bí mật (HMAC/K)SHA-256/384/512, SHA-3, BLAKE2/3, HMAC, KMACKiểm tra toàn vẹn (Integrity), Chữ ký số (Hash then Sign), KDF, Password Hashing (Argon2, bcrypt, PBKDF2).K = Khóa HMAC (đối với MAC)

2. DEK & KEK: Cặp đôi quản lý khóa doanh nghiệp (Envelope Encryption)

Khi mã hóa dữ liệu quy mô lớn (Database, Object Storage S3, Disk, Backup), không dùng một khóa duy nhất. Sử dụng mô hình Envelope Encryption (Mã hóa bao):

DEK (Data Encryption Key) - Khóa mã hóa dữ liệu

  • Vai trò: Mã hóa/giải mã dữ liệu thực tế (Data at rest / in transit).
  • Đặc điểm: Đối xứng (AES-256, AES-128). Tạo mới cho mỗi đối tượng/đoạn dữ liệu (Per-object/Per-file/Per-chunk). Ngắn hạn (rotated thường xuyên).
  • Số lượng: Rất nhiều (triệu DEK cho triệu file/object).

KEK (Key Encryption Key) - Khóa mã hóa khóa (Key Wrapping Key)

  • Vai trò: Mã hóa (Wrap) các DEK để lưu trữ an toàn. Giải mã (Unwrap) DEK khi cần dùng.
  • Đặc điểm: Có thể đối xứng (AES-KW - Key Wrap) hoặc bất đối xứng (RSA-OAEP, ECIES). Dài hạn, bảo vệ cực kỳ chặt chẽ. Lưu trong HSM, KMS, TPM, Secure Enclave.
  • Số lượng: Ít (Ít nhất 1 Master KEK / Key Hierarchy).

Quy trình Envelope Encryption (Ví dụ: AWS S3 SSE-KMS, Azure Storage Encryption, GCP CMEK, Vault, BitLocker)

  1. Tạo DEK ngẫu nhiên (AES-256).
  2. Mã hóa dữ liệu bằng DEK -> Ciphertext Data.
  3. Gửi DEK đến KMS/HSM để mã hóa (Wrap) bằng KEK -> Wrapped DEK (Encrypted DEK).
  4. Lưu trữ: Ciphertext Data + Wrapped DEK + Key ID (KEK ID).
  5. Giải mã: Đọc Key ID -> Gọi KMS Unwrap(Wrapped DEK) bằng KEK -> Nhận DEK plaintext -> Giải mã Data.

Lợi ích: Dữ liệu lớn mã hóa nhanh (DEK đối xứng). Khóa DEK được bảo vệ bởi KEK mạnh trong HSM/KMS. Xoay vòng (Rotate) KEK dễ dàng (Chỉ re-wrap DEK, không re-encrypt toàn bộ dữ liệu). Kiểm soát truy cập chặt chẽ qua IAM Policy trên KMS.

3. Các loại khóa theo mục đích (Key Types by Purpose)

  • Master Key / Root Key: KEK gốc, gốc rễ của hệ thống phân cấp khóa (Key Hierarchy). Bảo vệ trong HSM Root CA.
  • Key Encryption Key (KEK) / Key Wrapping Key: Mã hóa khóa khác.
  • Data Encryption Key (DEK) / Content Encryption Key (CEK) / Traffic Encryption Key (TEK): Mã hóa dữ liệu.
  • Key Signing Key (KSK) / Zone Signing Key (ZSK): DNSSEC.
  • Certificate Signing Key (CA Key): Ký chứng chỉ số (PKI).
  • Authentication Key / Signing Key: Chữ ký số, JWT signing, SAML Assertion signing.
  • Key Agreement Key (Ephemeral/Static): DH/ECDH cho Key Exchange (TLS, IPsec, Signal Protocol).
  • Password / Passphrase / PIN: Yếu, cần KDF (PBKDF2, Argon2, scrypt, bcrypt) dẫn xuất thành Key.
  • One-Time Pad (OTP) Key: Khóa ngẫu nhiên độ dài = plaintext, dùng 1 lần (Thuyết lý an toàn tuyệt đối).

4. Vòng đời khóa (Key Lifecycle Management) - 3 Giai đoạn (NIST SP 800-57)

  1. Pre-operational (Trước vận hành): Sinh khóa (RNG chứng thực FIPS 140-2/3), Phân phối an toàn (Key Ceremony, Split Knowledge, Dual Control), Lưu trữ (HSM/KMS), Đăng ký (Registration), Sao lưu (Backup - chỉ khóa giải mã/ký, KHÔNG backup khóa ký CA root).
  2. Operational (Vận hành): Kích hoạt (Activation), Sử dụng (Encryption/Signing/Key Exchange), Giám sát (Monitoring/Audit), Xoay vòng (Rotation/Rollover - Theo thời gian, lượng dữ liệu, sự kiện compromise), Tạm ngưng (Suspension), Khôi phục (Reinstatement).
  3. Post-operational (Sau vận hành): Vô hiệu hóa (Revocation), Hủy.destroy (Destruction - Zeroize trong HSM), Lưu trữ arşiv (Archival - chỉ để giải mã data cũ), Khôi phục thảm họa (Disaster Recovery).

5. Hệ thống quản lý khóa (KMS - Key Management System) & HSM

  • HSM (Hardware Security Module): Thiết bị phần cứng chuyên dụng (FIPS 140-2/3 Level 2/3/4). Sinh, lưu, dùng khóa KHÔNG BAO GIỜ XUẤT KHỎI HSM (Non-exportable). Dùng cho Root CA, KEK, Payment HSM (Thales, nCipher, Utimaco, AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM).
  • KMS (Key Management Service - Software/Cloud): Quản lý vòng đời khóa, API Create/Encrypt/Decrypt/Sign/Verify/Rotate/Import/Export. Tích hợp HSM backend. Ví dụ: AWS KMS, Azure Key Vault, Google Cloud KMS, HashiCorp Vault, CyberArk, Thales CipherTrust, Fortanix.
  • TPM (Trusted Platform Module) 2.0: HSM nhỏ trên mainboard (Laptop, Server, IoT). Lưu khóa máy tính, đo lường boot (Measured Boot), Windows Hello, BitLocker, Virtual Smart Card.
  • Secure Enclave / StrongBox / Titan M2: Tương tự TPM trên Mobile (Apple A7+, Android StrongBox Keymaster, Google Pixel Titan).

6. Ví dụ thực tế: TLS 1.3 Handshake & Key Hierarchy

  1. Long-term Identity Keys: Server Cert (Public Key) + Private Key (K_priv) lưu trong HSM/KMS/TPM. CA ký Cert bằng CA Key (KSK).
  2. Ephemeral Key Agreement: Client/Server sinh cặp khóa tạm thời (ECDHE) -> Trao đổi Public -> Tính Shared Secret (Pre-Master Secret).
  3. Key Derivation (HKDF): Từ Pre-Master Secret + Client/Server Random + "tls13 derived" -> Dẫn xuất:
    • Handshake Traffic Secrets (Client/Server) -> Handshake Keys (Encryption/Decryption cho Handshake messages).
    • Master Secret -> Application Traffic Secrets (Client/Server) -> Application Traffic Keys (DEKs: AES-GCM / ChaCha20-Poly1305) cho dữ liệu ứng dụng (HTTP/2, QUIC).
    • Resumption Master Secret -> PSK cho Session Resumption (0-RTT).
  4. Key Update: Traffice Key tự động xoay vòng (Key Update message) sau lượng dữ liệu/Thời gian nhất định (Forward Secrecy).

7. Kết luận

  • K (Key) là trung tâm của mật mã học. Hiểu rõ DEK (mã hóa data) vs KEK (bảo vệ DEK) là chìa khóa thiết kế hệ thống an toàn.
  • Envelope Encryption + KMS/HSM là tiêu chuẩn vàng cho dữ liệu quy mô lớn (Cloud, Enterprise).
  • Vòng đời khóa (Lifecycle) phải được quản lý chặt chẽ: Sinh -> Phân phối -> Dùng -> Xoay vòng -> Vô hiệu -> Hủy diệt.
  • TLS 1.3 thể hiện key hierarchy hiện đại: Long-term Identity -> Ephemeral Key Exchange -> HKDF -> Traffic Keys (DEKs) -> Auto Rotation.
  • Tương lai: PQC (Kyber, Dilithium) thay RSA/ECC cho KEM/Signature. Key Management phải sẵn sàng Hybrid (Classic + PQC).