密码与认证合规50 条

密钥保护：信封加密与 KMS 实践

用主密钥保护数据密钥、再用数据密钥保护业务数据（信封加密），可以让海量数据加密具备可运维性；主密钥应存放于 KMS 或密码机。

信封加密流程

1 每条数据生成独立 DEK（数据密钥）
2 用 KEK（主密钥，存放 KMS/密码机）加密 DEK，得到密文 DEK
3 数据用 DEK 加密，密文与密文 DEK 一起存储
4 解密时先调 KMS 解出 DEK，再解数据
5 轮换时只重加密 DEK，不触碰业务数据

密钥与密文分离存放；KMS 调用应审计、限流并配置告警，防止被用于批量解密。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌