密钥管理最佳实践：密钥生命周期与安全存储

1

生成 → 分发 → 存储 → 使用 → 轮换 → 撤销 → 销毁

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# RSA 密钥对
openssl genrsa -out rsakey.pem 2048
openssl rsa -in rsakey.pem -pubout -out rsakey.pub

# ECC 密钥对
openssl ecparam -genkey -name prime256v1 -out eckey.pem

# 对称密钥（AES）
openssl rand -hex 32 > aeskey.hex
# 或生成二进制文件
openssl rand -out aeskey.bin 32

1
2

# 不要这样做
echo "my-secret-key" > /tmp/key.txt

1
2
3

# 不要这样做
git add secret.key
git commit -m "add key"

1
2
3
4
5

# 导出密钥到环境变量
export ENCRYPTION_KEY=$(cat /secure/path/key)

# 在代码中读取
echo $ENCRYPTION_KEY

1
2
3
4
5

# 生成数据密钥
aws kms generate-data-key --key-id alias/mykey --key-spec AES_256

# 使用 KMS 解密
aws kms decrypt --ciphertext-blob fileb://encrypted.key --output text --query Plaintext | base64 -d

1
2
3
4

1. 生成新密钥
2. 用新密钥加密新数据
3. 保留旧密钥用于解密历史数据
4. 时间窗口后销毁旧密钥

1
2
3
4
5
6
7
8

# 生成新密钥
openssl rand -hex 32 > key_new.hex

# 用新密钥加密文件
openssl enc -aes-256-cbc -salt -in secret.txt -out secret_enc.bin -pass file:key_new.hex

# 保留旧密钥用于解密
cp key_old.hex key_old_backup.hex

1
2

# 查看证书撤销状态
openssl x509 -noout -text -in cert.pem | grep -A1 "CRL"

1
2

# 使用 secretscli 或自定义实现
# 将密钥拆分为 N 份，需要 M 份才能恢复

1
2
3
4
5

# 覆盖删除（Linux）
shred -u -z sensitive_keyfile

# 清空内存（代码中）
memset(key_buffer, 0, key_length);

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11

# vault.hcl
vault " vault.example.com" {
  auth {
    token = "s.xxxxxx"
  }
}

# 数据加密密钥路径
path "kv/data/encryption" {
  policy = "read"
}