Rotasi Kunci dan Deteksi

Rotasi kunci adalah praktik mengganti rahasia dengan yang baru secara berkala dan menonaktifkan yang lama. Bahkan kunci yang disimpan dengan sempurna tetap mendapat manfaat dari rotasi:

• Membatasi jendela paparan jika kunci diam-diam bocor, rotasi akan membatalkannya.
• Mengurangi keausan kriptografis lebih sedikit data yang dienkripsi dengan satu kunci.
• Memenuhi kepatuhan standar seperti PCI DSS mewajibkan rotasi berkala.
• Menghapus akses pihak yang sudah keluar kredensial yang pernah dilihat mantan karyawan menjadi tidak berguna.

Gagasan utamanya: nilai sebuah rahasia bagi penyerang menyusut semakin sering rahasia itu berubah. Rotasi mengubah kebocoran dari masalah permanen menjadi masalah sementara.

Rotasi naif—menghapus kunci lama lalu membuat kunci baru—menyebabkan gangguan, karena konsumen yang masih memegang kunci lama langsung tidak dapat bekerja. Rotasi yang aman menggunakan masa berlaku yang tumpang tindih:

• 1. Buat kunci baru di samping kunci yang sudah ada.
• 2. Sebarkan kunci baru kepada semua konsumen.
• 3. Aktifkan kunci baru untuk operasi baru.
• 4. Masa tenggang kedua kunci tetap berlaku sementara konsumen melakukan pembaruan.
• 5. Nonaktifkan kunci lama setelah tidak ada lagi yang menggunakannya.

Tumpang tindih dua kunci ini merupakan dasar rotasi tanpa waktu henti.

Untuk melakukan rotasi tanpa mengganggu lalu lintas, layanan harus menerima kunci lama dan kunci baru selama masa tenggang. Pemverifikasi memeriksa token yang masuk terhadap kunci mana pun yang saat ini valid.

Untuk keys penandatanganan, publikasikan beberapa keys publik dan identifikasi keys yang menandatangani token dengan ID kunci (kid) di tajuk. Konsumen memilih keys yang cocok secara otomatis.

Hanya setelah telemetri mengonfirmasi tidak ada lalu lintas pada kunci lama, Anda menonaktifkannya.

Rotasi manual jarang dilakukan, rentan terhadap kesalahan, dan sering dilewati saat berada di bawah tekanan. Otomatiskan. Platform komputasi awan dan brankas dapat melakukan rotasi sesuai jadwal tanpa campur tangan manusia:

• AWS Secrets Manager menjalankan Lambda rotasi yang membuat kredensial baru, mengujinya, lalu mengaktifkannya.
• HashiCorp Vault merotasi kredensial root dan menerbitkan rahasia dinamis berumur pendek sehingga rotasi berlangsung terus-menerus.
• Cloud KMS dapat merotasi keys enkripsi secara otomatis pada interval tetap.

Rotasi otomatis juga merupakan respons paling andal terhadap dugaan kebocoran—satu perintah atau jadwal yang diterapkan di mana-mana.

Merotasi kata sandi itu mudah: keluarkan yang baru, lalu perbarui konsumen. Merotasi kunci enkripsi lebih sulit karena data lama dienkripsi dengan kunci lama.

Solusi standarnya adalah enkripsi amplop: data dienkripsi dengan kunci data per objek, lalu kunci data tersebut dienkripsi oleh kunci enkripsi kunci (KEK) utama. Untuk melakukan rotasi, Anda mengenkripsi ulang hanya keys data yang kecil dengan KEK baru, bukan seluruh kumpulan data.

Mesin Transit milik Vault menangani hal ini dengan keys berversi: mesin tersebut melacak versi mana yang mengenkripsi setiap teks tersandi dan memungkinkan Anda membungkusnya ulang ke versi terbaru.

Rotasi terjadwal ditujukan untuk menjaga kebersihan keamanan; rotasi darurat ditujukan untuk menangani kebocoran. Jika suatu kunci diketahui atau diduga telah disusupi, Anda melewati masa tenggang yang lambat dan segera melakukan rotasi, dengan menerima gangguan singkat bila diperlukan.

Persiapan membuat situasi ini dapat ditangani:

• Simpan panduan operasional yang telah diuji untuk merotasi setiap jenis rahasia.
• Ketahui setiap konsumen dari setiap rahasia sebelumnya.
• Siapkan otomatisasi agar rotasi darurat cukup dilakukan dengan satu perintah, bukan menjadi proyek penelitian.

Kecepatan rotasi darurat Anda secara langsung menentukan seberapa besar dampak kebocoran.

Rotasi menangani kebocoran yang diketahui; deteksi menemukan kebocoran yang belum diketahui. Pemindai rahasia menelusuri kode, riwayat, catatan, dan artefak untuk mencari pola kredensial.

Lakukan pemindaian pada beberapa lapisan sebagai pertahanan berlapis:

• Pra-komit blokir rahasia sebelum masuk ke repositori.
• Alur integrasi berkelanjutan tangkap rahasia yang lolos dari kait lokal.
• Seluruh repositori lakukan pemindaian mendalam berkala terhadap seluruh riwayat.
• Sisi platform GitHub/GitLab melakukan pemindaian rahasia saat pengiriman.

Alat seperti gitleaks dan trufflehog menggunakan ekspresi reguler serta analisis entropi untuk menemukan string dengan keacakan tinggi yang tampak seperti keys.

Pemindai menggunakan dua teknik yang saling melengkapi:

• Pencocokan pola untuk awalan dan format yang telah diketahui; misalnya, keys AWS dimulai dengan AKIA, keys live milik Stripe dengan sk_live_, dan token GitHub dengan ghp_.
• Analisis entropi untuk mengukur keacakan. Rahasia asli berupa string berentropi tinggi; nilai yang panjang dan tampak acak mencurigakan meskipun tidak memiliki awalan yang dikenal.

Pola memberikan presisi (sedikit positif palsu), sedangkan entropi memberikan cakupan (menangkap format yang tidak dikenal). Alat yang baik menggabungkan keduanya dan memungkinkan Anda menyesuaikan ambang batas serta daftar izin untuk mengelola gangguan.

Pemindaian menemukan rahasia di tempat yang tidak semestinya. Token umpan (atau token kenari) mendeteksi saat rahasia digunakan oleh penyerang.

Anda menanamkan kredensial palsu yang tampak nyata—kunci AWS, token antarmuka pemrograman aplikasi, atau koneksi basis data—di lokasi yang menggoda seperti berkas konfigurasi atau repositori publik. Kredensial tersebut tidak berguna, tetapi setiap upaya untuk menggunakannya memicu peringatan.

Karena sistem yang sah tidak pernah menyentuh token umpan, setiap temuan merupakan sinyal intrusi dengan tingkat keyakinan tinggi—peringatan dini bahwa penyerang telah menguasai penyimpanan rahasia atau basis kode Anda.

Selain token umpan, pantau cara rahasia asli digunakan. Catatan audit dari brankas dan penyedia komputasi awan mengungkap pola penyalahgunaan:

• Geografi baru: kunci tiba-tiba digunakan dari negara yang tidak terduga.
• Akses di luar jam kerja: kredensial digunakan pada pukul 3 pagi saat tidak ada pekerjaan yang berjalan.
• Penyelidikan hak akses: kunci hanya-baca mencoba melakukan penulisan atau memanggil operasi administrator.
• Lonjakan volume: peningkatan mendadak pada panggilan antarmuka pemrograman aplikasi.

Masukkan catatan ini ke SIEM dengan sistem peringatan. Deteksi yang dipadukan dengan rotasi cepat merupakan jawaban praktis untuk kebocoran yang lolos dari pencegahan.

Program yang matang menggabungkan rotasi proaktif dengan deteksi berkelanjutan:

• Utamakan rahasia dinamis berumur pendek agar rotasi berlangsung otomatis dan terus-menerus.
• Otomatiskan rotasi terjadwal untuk rahasia statis yang tidak dapat dihindari.
• Gunakan tumpang tindih dua kunci untuk rotasi keys penandatanganan tanpa waktu henti.
• Lakukan pemindaian di mana-mana: pra-komit, integrasi berkelanjutan, riwayat, dan platform.
• Gunakan token umpan dan pantau catatan audit untuk mendeteksi penggunaan anomali.
• Simpan panduan operasional darurat agar kebocoran yang terkonfirmasi dapat dirotasi dalam hitungan menit.

Tujuannya: menjadikan setiap rahasia berumur pendek, setiap kebocoran dapat dideteksi, dan setiap rotasi berlangsung cepat serta rutin.

Anda telah mempelajari cara menjaga kesegaran rahasia dan menemukan kebocoran yang lolos.

• Rotasi membatasi jendela paparan dan memenuhi persyaratan kepatuhan; rotasi yang aman menggunakan tumpang tindih dua kunci agar tidak ada waktu henti.
• Otomatiskan rotasi melalui pengelola komputasi awan, Vault, dan KMS. Utamakan rahasia dinamis berumur pendek agar rotasi berlangsung terus-menerus.
• Rotasi keys enkripsi menggunakan enkripsi amplop sehingga Anda membungkus ulang keys data yang kecil, bukan seluruh kumpulan data.
• Rotasi darurat bergantung pada panduan operasional dan pengetahuan sebelumnya tentang setiap konsumen.
• Deteksi menggabungkan pemindaian rahasia (pola + entropi), token umpan yang mengungkapkan penggunaan, serta pemantauan anomali melalui catatan audit dan SIEM.
• Strategi yang matang menyatukan rotasi proaktif dengan deteksi berkelanjutan agar kebocoran berumur pendek, terlihat, dan cepat dibatasi.

Kursus Manajemen Rahasia dan Rotasi Kunci ini telah selesai.