密钥销毁要做到可证明
密钥销毁的目标是让密钥材料在所有位置都不再可用，并且能证明这件事确实发生过。要清的对象比想象中多：平台上的密钥对象、文件副本、备份、内存缓存、镜像层、配置管理里的引用。删除动作之后还必须留记录：销毁时间、执行人、依据的流程或工单、以及验证方式。另一条不能省的前置检查是确认没有历史数据仍依赖这把密钥——密钥一旦销毁，用它加密的数据就永久不可解。
基本信息
| 销毁对象 | 平台密钥对象、文件、备份、缓存副本、配置引用 |
|---|---|
| 方式选择 | 平台销毁接口、加密擦除、介质销毁，按数据等级选择 |
| 前置检查 | 确认历史数据已迁移或不再需要解密 |
| 托管平台特性 | 多数 KMS 有删除保护期，可在此期间取消删除 |
| 记录要求 | 时间、执行人、依据、验证方式，缺一不可 |
| 验证方式 | 确认接口调用失败、文件不可读、监控中不再出现该密钥标识 |
典型使用场景
- 业务下线：服务退役后清理其专用密钥。
- 轮换收尾：新密钥稳定运行后销毁旧密钥，减少可攻击目标。
- 介质报废：设备淘汰前按介质特性执行清理。
- 泄露响应：确认密钥失效且不留可用副本。
- 合规要求：按制度在指定时限内完成销毁并留证。
文件级擦除与传统介质
文件级擦除与传统介质
# 传统磁盘上的文件覆写擦除
shred -n 3 -z -u key.pem
# 托管平台通常提供带保护期的删除接口，删除后可在一段时间内取消
# aws kms schedule-key-deletion --key-id <key-id> --pending-window-in-days 7
# SSD、快照与对象存储：覆写不保证生效，应依赖整盘或对象级加密加密钥销毁销毁对象与手段
| 对象 | 手段 | 注意 |
|---|---|---|
| KMS/HSM 密钥对象 | 平台销毁接口 | 注意保护期与取消窗口 |
| 本地密钥文件 | 覆写擦除后删除 | SSD 上覆写效果有限 |
| 备份副本 | 按备份生命周期清理并验证 | 最容易遗漏的位置 |
| 内存缓存 | 重启进程或缩短缓存生命周期 | 需要设计，不能临时处理 |
| 镜像与配置文件 | 改构建流程并重建 | 删除文件无法清除镜像层 |
托管存储上，加密擦除（丢弃密钥使全部密文不可解）通常比逐块覆写更可控：设计阶段就先想好密钥粒度，别等报废时才补方案。