Key Management (Quản lý khóa) là quy trình quản trị vòng đời đầy đủ của khóa mật mã: sinh, phân phối, lưu trữ, sử dụng, xoay vòng, lưu trữ, thu hồi, và hủy diệt. An toàn hệ thống mật mã phụ thuộc hoàn toàn vào quản lý khóa — thuật toán mạnh nhất cũng vô nghĩa nếu khóa bị lộ.
Vòng đời khóa (Key Lifecycle) — NIST SP 800-57
- Pre-activation: Sinh khóa (CSPRNG, HSM), đăng ký metadata (owner, purpose, algorithm, expiry).
- Activation: Khóa bắt đầu có hiệu lực (thời gian, sự kiện).
- Active use: Dùng cho enc/dec/sign/verify. Monitoring, audit log mọi sử dụng.
- Suspension: Tạm ngừng (nghi ngờ compromise, chờ 조사).
- Deactivation: Ngừng dùng cho enc/sign mới, vẫn dùng dec/verify dữ liệu cũ.
- Compromise / Revocation: Khóa bị lộ → thu hồi ngay, re-key dữ liệu ảnh hưởng, thông báo bên liên quan.
- Destruction: Zeroize khóa khỏi mọi bộ nhớ (RAM, disk, HSM, backup). Xác minh hủy diệt.
Thành phần hạ tầng (PKI / KMS / HSM)
| Thành phần | Vai trò | Ví dụ |
|---|---|---|
| HSM (Hardware Security Module) | Sinh, lưu, dùng khóa trong hardware tamper-resistant (FIPS 140-2 L3+, CC EAL4+). Không export plaintext key. | Thales Luna, nCipher, AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM |
| KMS (Key Management Service) | Quản lý vòng đời, access control, audit, rotation, import/export, API ứng dụng gọi encrypt/decrypt không thấy key. | AWS KMS, Azure Key Vault, GCP KMS, HashiCorp Vault, Thales CipherTrust |
| CA (Certificate Authority) | Ký certificate gắn public key với identity (X.509). Root CA offline, Intermediate CA online. | DigiCert, GlobalSign, Let's Encrypt, Private CA (Smallstep, CFSSL, Vault PKI) |
| Key Derivation / Hierarchy | Master Key (KEK) → Key Encryption Key → Data Encryption Key (DEK). Envelope encryption. | AWS KMS: CMK → Data Key; TLS: Master Secret → Traffic Keys |
Yêu cầu bắt buộc (Must-haves)
- Key Generation: CSPRNG (NIST SP 800-90A/B/C), entropy source chất lượng cao (HSM, CPU RDRAND/RDSEED, /dev/urandom).
- Access Control: RBAC, Principle of Least Privilege, MFA cho admin, separation of duties (dual control cho thao tác nhạy cảm).
- Audit Logging: Mọi thao tác key (create, encrypt, decrypt, sign, rotate, destroy) — immutable log, SIEM integration.
- Key Rotation: Định kỳ (90-365 ngày), sau incident, nhân viên nghỉ, thay đổi policy. Automated rotation.
- Backup & Recovery: Backup khóa an toàn (split knowledge, Shamir Secret Sharing, M-of-N), test restore định kỳ.
- Algorithm Agility: Hỗ trợ nhiều thuật toán, dễ migrate (RSA→ECC→PQC). Metadata gắn thuật toán với key.
- Compliance: FIPS 140-2/3, Common Criteria, GDPR, PCI-DSS, HIPAA, NIST SP 800-57, ISO 27001.
Envelope Encryption (Mô hình thực tế)
1. App yêu cầu KMS sinh Data Key (DEK): KMS trả về (Plaintext DEK, Encrypted DEK under KEK)
2. App dùng Plaintext DEK → AES-GCM encrypt data → lưu (Ciphertext, Encrypted DEK)
3. App zeroize Plaintext DEK khỏi RAM
4. Giải mã: App gửi Encrypted DEK → KMS decrypt → Plaintext DEK → decrypt data
- KEK (Master Key) không bao giờ rời HSM/KMS.
- DEK chỉ tồn tại trong RAM app trong lúc xử lý.
- Rotation: Re-encrypt DEK với KEK mới (không cần re-encrypt toàn bộ data).
Post-Quantum Key Management (Chuẩn bị 2024+)
- Hybrid KEM: Classical (X25519) + PQC (Kyber-768) → double encryption.
- Hybrid Signature: Ed25519 + Dilithium-3.
- HSM/KMS vendor đang cập nhật firmware hỗ trợ PQC algorithms.
- Inventory tất cả khóa, chứng chỉ, protocol → lập kế hoạch migrate.
Kết luận: Key Management không phải "cài đặt quên" — là quy trình vận hành liên tục, đòi hỏi đầu tư HSM/KMS, nhân sự trained, policy rõ ràng, audit thường xuyên. "Keys are the crown jewels — protect them accordingly."