鍵管理 とは？

強い暗号を使っても、必要な秘密鍵が漏れたり、唯一の復号鍵を失ったりすると、情報を守れなくなるよ。暗号の安全性にはアルゴリズムや実装も関わるので、鍵管理だけで決まるわけではない。なおAWSのアクセスキーはサービスを使う認証情報で、データ暗号化に使う鍵とは役割が違うんだ。

暗号化や署名に使う鍵を作り、管理するAWSのサービスだよ。KMSキーはHSMで保護され、平文のままサービスの外へ出ない。利用者はAPIを通じて処理を依頼し、キーポリシーなどで誰が使えるかを決める。サービスを使っても権限の設計は必要なんだ。

一律の周期ではないよ。用途や鍵の種類、リスク、適用される要件に応じて利用期間と更新方法を決める。AWS KMSの自動更新は対象の対称暗号化キーで利用でき、既定は365日だけれど周期も指定できる。非対称キーなどは同じ自動更新の対象ではないので、対応する方法を確認しよう。

AWS KMSの鍵素材の更新では、既存データが自動で再暗号化されるわけではないよ。古い暗号文は対応する古い鍵素材で復号する。漏えいしたデータ鍵の影響も更新だけでは解消しない。古いデータをいつまで復号するか、再暗号化が必要か、いつ鍵を破棄するかを合わせて計画するんだ。

秘密の鍵や認証情報をソースコードに埋め込まず、利用権限を絞って管理しよう。Secret scanningは混入の発見を助けるけれど、検出されたら必ず自動失効するとは限らない。漏れた認証情報は失効・更新などの対応を確認する。ファイルを削除するだけで対処が完了したとは考えないでね。