Konvoluttkryptering og datanøkler
Se hvordan KMS beskytter en datanøkkel som krypterer de faktiske dataene Deres.
Konvoluttkryptering og datanøkler er en gratis leksjon i Cloud & IT Cert Prep på CoddyKit. Dette er leksjon 4 av 4. Du kan lese hele leksjonen gratis nedenfor – og deretter øve praktisk i nettleseren med en innebygd kodeeditor og en AI-veileder som er tilgjengelig døgnet rundt. Den er en del av læringsløpet i Cloud & IT Cert Prep, og fremdriften din synkroniseres mellom nettet og CoddyKit-appen. Kurset i Cloud & IT Cert Prep inneholder totalt 4 leksjoner.
Problemet med store datamengder
KMS kan bare kryptere små datamengder (omtrent 4 KB) direkte. Reelle data, filer, volumer og databaser er langt større.
Konvoluttkryptering løser dette: Du krypterer de store datamengdene med en datatast og krypterer deretter datatasten med en KMS-nøkkel. Slik krypterer AWS alt i stor skala.
Hva en datatast er
En datatast er en vanlig krypteringsnøkkel (for eksempel AES-256) som genereres av KMS for å kryptere de faktiske dataene dine.
- I motsetning til KMS-nøkler forlater datatastens klartekst KMS en kort stund, slik at du kan bruke den.
- KMS returnerer også en kryptert kopi av datatasten.
GenerateDataKey
Du kaller GenerateDataKey og angir en KMS-nøkkel. KMS returnerer:
- En datatast i klartekst for å kryptere dataene umiddelbart.
- En kryptert datatast (pakket inn av KMS-nøkkelen) som skal lagres sammen med kryptoteksten.
Deretter forkaster du datatasten i klartekst fra minnet.
aws kms generate-data-key \
--key-id alias/my-app-key \
--key-spec AES_256Konvoluttmønsteret
Flyten er:
- Krypter data med datatasten i klartekst.
- Lagre den krypterte datatasten ved siden av kryptoteksten.
- Kast datatasten i klartekst.
Datatasten ligger «i en konvolutt» som er forseglet av KMS-nøkkelen, derav navnet.
Dekryptering med konvolutten
Ved dekryptering gjør du prosessen i motsatt rekkefølge:
- Send den krypterte datatasten til KMS Decrypt.
- KMS returnerer datatasten i klartekst.
- Bruk den til å dekryptere dataene, og forkast den deretter.
Bare KMS kan pakke ut datatasten, så tilgangen til KMS-nøkkelen kontrollerer alt.
Hvorfor konvoluttkryptering er nyttig
Konvoluttkryptering gir deg det beste fra to verdener:
- Rask lokal kryptering av store datamengder med datatasten.
- Sterk sentral kontroll fordi datatasten er ubrukelig uten KMS-nøkkelen.
Du reduserer også antallet KMS-kall, siden én datatast kan beskytte store mengder data.
Bufring av datataster
For arbeidsbelastninger med stort volum kan AWS Encryption SDK bufre datataster og bruke dem på nytt til mange krypteringer.
Dette reduserer kostnadene og ventetiden for KMS-forespørsler, med konfigurerbare grenser slik at en bufret nøkkel ikke gjenbrukes for lenge eller i for stort omfang. Dermed balanseres ytelse og sikkerhet.
Slik bruker tjenestene det internt
Når du aktiverer kryptering for S3, EBS eller RDS, utfører AWS konvoluttkryptering for deg.
Tjenesten ber om en datatast fra KMS-nøkkelen din, krypterer dataene og lagrer den innpakkede datatasten. Du velger ganske enkelt KMS-nøkkelen; konvoluttmekanismen håndteres automatisk.
AWS Encryption SDK
AWS Encryption SDK er et klientbibliotek som implementerer konvoluttkryptering på riktig måte i dine egne apper.
Det håndterer generering av datataster, krypteringskontekst og lagring av den innpakkede nøkkelen sammen med kryptoteksten, slik at du slipper å implementere den feilutsatte kryptografiske infrastrukturen selv.
GenerateDataKeyWithoutPlaintext
En variant, GenerateDataKeyWithoutPlaintext, returnerer bare den krypterte datatasten.
Den brukes når du vil generere og lagre en datatast nå, men først dekryptere den senere, når den skal brukes. Dermed holdes nøkkelen i klartekst ute av minnet til den faktisk trengs, noe som reduserer eksponeringen for nøkler som klargjøres på forhånd.
Hvorfor dette er viktig til eksamen
Konvoluttkryptering forklarer hvorfor KMS kan skaleres, og hvordan én KMS-nøkkel kan beskytte terabyte med data.
Forvent spørsmål om GenerateDataKey-flyten, hva som forlater KMS (datatasten, en kort stund), og hvorfor kontroll over KMS-nøkkelen gir kontroll over alle avledede data.
Hurtigsjekk
Test konvoluttflyten.
Oppsummering
Du har lært om konvoluttkryptering.
- GenerateDataKey returnerer en datatast i klartekst og en kryptert datatast.
- Krypter data lokalt med klartekstnøkkelen, lagre den innpakkede nøkkelen og forkast klarteksten.
- Bare KMS-nøkkelen kan pakke ut datatasten, noe som gir sentral kontroll over alle data.
Lær deg Cloud & IT Cert Prep med en AI-veileder – gratis
Skriv og kjør ekte kode i nettleseren, få umiddelbar hjelp fra en AI-veileder som er tilgjengelig døgnet rundt, og fortsett der du slapp – på nettet eller i appen.
- Kurs
- 150
- Leksjoner
- 600
Ofte stilte spørsmål
Er leksjonen «Konvoluttkryptering og datanøkler» gratis?
Ja – hele teksten i «Konvoluttkryptering og datanøkler» er gratis å lese her på nettet. For å øve interaktivt med en innebygd kodeeditor og en AI-veileder som er tilgjengelig døgnet rundt, og for å låse opp resten av Cloud & IT Cert Prep-kurset, kan du oppgradere til CoddyKit PRO. Kurset i Cloud & IT Cert Prep inneholder totalt 4 leksjoner.
Hva lærer jeg i «Konvoluttkryptering og datanøkler»?
Se hvordan KMS beskytter en datanøkkel som krypterer de faktiske dataene Deres. Du øver på Cloud & IT Cert Prep med praktisk kode som du kjører direkte i nettleseren, mens en AI-veileder som er tilgjengelig døgnet rundt, svarer på spørsmålene dine mens du jobber deg gjennom leksjonen.
Trenger jeg erfaring for å begynne med Cloud & IT Cert Prep?
Ingen tidligere erfaring er nødvendig. Cloud & IT Cert Prep på CoddyKit er lagt opp for både nybegynnere og viderekomne, så De kan begynne her eller helt fra start og lære i Deres eget tempo. Dette er leksjon 4 av 4.
Hvor lang tid tar leksjonen «Konvoluttkryptering og datanøkler»?
De fleste CoddyKit-leksjoner tar omtrent 5–10 minutter. Hver leksjon er kort og interaktiv, slik at De gjør jevne fremskritt og kan fortsette akkurat der De slapp – både på nettet og i appen.
Kan jeg skrive og kjøre kode i denne Cloud & IT Cert Prep-leksjonen?
Ja. Alle Cloud & IT Cert Prep-leksjoner har en innebygd kodeeditor, slik at De kan skrive og kjøre ekte kode direkte i nettleseren og få umiddelbar tilbakemelding fra AI – uten lokal konfigurering.
Alle leksjonene i dette kurset
- Hva KMS-nøkler er og gjør
- Symmetriske, asymmetriske og flerregionale nøkler
- Nøkkelpolicyer, tildelinger og betingelser
- Konvoluttkryptering og datanøkler