Encryption at rest + key management
Криптиране на дискове, бази данни, backups и sensitive stores с контролирани ключове.
Какво е
Криптиране на дискове, бази данни, backups и sensitive stores с контролирани ключове.
Как работи
Без ключа raw storage не трябва да е четим.
Мит срещу реалност
Мит: „Данните са encrypted, следователно breach няма.“
Реалност: encryption at rest помага когато attacker получи storage/media без ключа. Ако приложението или компрометиран user вече има право да decrypt-ва данните, те могат да бъдат откраднати като plaintext.
Пример
Откраднат laptop с full-disk encryption и powered-off state е съвсем различен риск от отключен laptop с активна session.
Как да проверим
- Има ли recovery keys?
- Кой може да export-ва keys?
- Key и encrypted data разделени ли са?
- Какво става при KMS/admin compromise?
Практическа имплементация
- Full-disk encryption.
- HSM/KMS за server/cloud keys.
- Key rotation.
- Separation of duties.
- Backup key recovery.
Какво НЕ решава
Ако attacker има активна сесия или приложението има достъп до plaintext, encryption at rest не го спира.
Предпазва най-силно от
- Data Breach · Кражба, унищожаване и манипулация на данни
- Device Theft/Loss · Insider, физически атаки и removable media
- Physical/Removable-Media Exfiltration · Кражба, унищожаване и манипулация на данни
Помага частично срещу
- Cold-Boot Attack · Криптографски, hardware и side-channel атаки15.11 Cold boot — ограничено
- Evil Maid Attack · Insider, физически атаки и removable media11.17 Evil maid — частично
Кой го търси
15 отворени обяви искат това умение. Затворените обяви не се броят — това е търсенето сега.