Kryptografiakäytäntö: Luottamus toteutuksen kautta
TL;DR: AES-256 levossa olevalle datalle. TLS 1.3 siirrettävälle datalle. AWS KMS avainten hallintaan. Vuosittainen kierto. SSL Labs A+. Ei takaovia, ei vanhentuneita algoritmeja. Toteutus todistaa asiantuntemuksen.
Ajattele itse, tyhmyri! Kyseenalaista auktoriteetti
Kyllä, jopa—erityisesti—ne viranomaiset, jotka hyväksyvät kryptografiset standardit. Mutta kun kyseenalaistat motiivit ja takaovihistorian, toteuta järjestelmällisesti.
ISMS-kryptografia: Kryptografiakäytäntö—järjestelmällinen toteutus.
Salausstandardit: Mitä me todella käytämme
- Levossa oleva data: AES-256-GCM (AEAD-salaus)
- Siirrettävä data: TLS 1.3 (vain modernit cipher-sarjat)
- Epäsymmetrinen salaus: RSA 4096-bitti / ECDSA P-384
- Avainten hallinta: AWS KMS (Hardware Security Modules)
- Hajautus: SHA-256 vähintään (SHA-3 kun saatavilla)
- Vuosittainen kierto: Kaikki pitkäikäiset avaimet
Toteutus: Asiantuntemuksen todiste
Kaikki puhuvat salauksesta. Me toteutamme sen:
- SSL Labs A+: Tarkistettu neljännesvuosittain
- Perfect Forward Secrecy: Käytössä kaikissa päätepisteissä
- Certificate Transparency: Valvottu CT-lokien kautta
- HSTS: Pakotettu 2 vuoden max-age-arvolla
- Ei SSL/TLS 1.0/1.1: Poistettu käytöstä ja testattu
Miksi nämä valinnat?
AES-256: Ei käytännön hyökkäyksiä. NIST-hyväksytty. Laajalti tuettu. Laitteistokiihdytetty moderneissa suorittimissa.
TLS 1.3: Vähentynyt latenssi. Parantunut yksityisyys. Vähemmän cipher-sarjavirheitä. Pakollinen Perfect Forward Secrecy.
AWS KMS: FIPS 140-2 Level 2+ -validoitu. Keskitetty tarkastuspolku. Tehtävien erottelu. Automaattinen kierto.
Mitä emme käytä (ja miksi)
- Ei itse keksittyjä algoritmeja: Kryptografia on vaikeaa. Käytä standardeja.
- Ei vanhentuneita cipher-sarjoja: RC4, 3DES, MD5—ei.
- Ei epävarmoja satunnaisgeneraattoreita: Vain `/dev/urandom` / CSPRNG
- Ei kovakoodattuja avaimia: Avaimet KMS:ssä, ei koodissa
Avainten hallinta: Elinkaari
- Generointi: HSM-generoitu, ei koskaan paljastettu
- Jakelu: Salattu kanava, minimaalinen altistuminen
- Tallennus: KMS pääsynhallinnalla
- Kierto: Vuosittain vähintään, tapahtumien jälkeen
- Peruutus: Välitön, dokumentoitu
- Tuhoaminen: Turvallinen poisto, vahvistettu
Vaatimustenmukaisuus: Standardien risteys
- ISO 27001:2022 A.8.24: Kryptografia ✓
- NIST CSF PR.DS-1: Tietosuoja ✓
- CIS Controls 3.10: Salaa arkaluontoinen data ✓
- GDPR Art. 32: Asianmukaiset turvatoimet ✓
Diskordialainen lähestymistapa: Kysy miksi
Miksi luotamme AES:ään? Koska 20 vuoden kryptoanalyysi ei ole murtanut sitä—vielä. Miksi AWS KMS? Koska emme voi rakentaa parempia HSM:iä itse. Miksi TLS 1.3? Koska TLS 1.2:ssa on liikaa legacy-ongelmia.
Luottamus tulee toteutuksesta, ei väitteistä.
Testaa oma salauksesi
Tarkista toteutuksemme:
- SSL Labs: Testaa hack23.com
- Security Headers: Tarkista HSTS, CSP, CT
- testssl.sh: Suorita oma auditointisi
Lisälukemista