Բաների կառավարումը և նավարկումը

Բանալիները պլատֆորմի «վստահության արմատներ» են։ Բանալիների կառավարման հուսալի համակարգը (KFC/HSM + գործընթացները + հեռաչափություն) վերածում է կրիպտոգրաֆիա տարբեր պարամետրերից մինչև առօրյա վիրահատություն 'բանալիները պարբերաբար նորարարվում են, դրանց օգտագործումը պրոյեկտիվ է, փոխզիջումները տեղայնացվում են, իսկ հաճախորդները անցնում են բանալին առանց դաունտայմի։

1) Նպատակներն ու սկզբունքները

Crypto agility: հնարավորություն փոխել ալգորիթմը/երկարությունը առանց մեծ խմբակցությունների։

Least exposure: մասնավոր բանալիները չեն լքում KFC/HSM; ստորագրությունները/գաղտնագրումները հեռացված են։

Shast-lived artifac.ru: Tokens/նստաշրջանի բանալիները ապրում են րոպեներ, ոչ թե մեկ շաբաթ։

Dox-key/Dox-cript պատուհանները 'անպատասխանատու ռոտացիաներ։

Regional & tenronizolation: բանալիները բաժանված են տարածաշրջաններով և վարձակալներով։

Full auditability: Գործողության անփոփոխ ամսագիր, HSM հավաստագրում, մուտքի վերահսկողություն։

2) Կոդավորման դասակարգում

Արմատային (Root CA/Winter Key) 'չափազանց հազվագյուտ օգտագործումը, պահպանվում են HSM-ում, օգտագործվում են միջանկյալ կոդերի կամ www.key-key գաղտնիքների թողարկման համար։

Վիրահատական 'JWT/իրադարձությունների ստորագրումը, TSA, webhuks ստորագրությունը, կոդավորումը/PII։

Սեսսիոն/ժամանակավոր 'DPoP, mTSA-binding, ECDH-եզրակացություն ջրանցքի/երկխոսության համար։

Ինտեգրացիոն 'գործընկերների բանալիները (հանրային) և HMAC գաղտնիքները։

Express Keys (DEK): օգտագործում են envelope-կոդավորումը KEK-ի տակ, չեն պահպանվում ակնհայտ տեսքով։

3) Օգտագործողի նույնականացումը և օգտագործման քաղաքականությունը

Յուրաքանչյուր բանալին ունի «kid» (բանալին նույնացվում է հոսանքներում/վերնագրերում)

yaml key:
kid: "eu-core-es256-2025-10"
alg: "ES256"         # или EdDSA, RSA-PSS, AES-GCM, XChaCha20-Poly1305 purpose: ["jwt-sign","webhook-sign"]
scope: ["tenant:brand_eu","region:EE"]
status: "active"       # active      next      retiring      revoked created_at: "2025-10-15T08:00:00Z"
valid_to:  "2026-01-15T08:00:00Z"

Կանոնները ՝ «մեկ նպատակը մեկ բանալին է» (նվազագույն շարինգա), ակնհայտ օգտագործման և ժամկետի ոլորտները։

4) Կյանքի ստեղնաշարի ցիկլը (KFC/HSM)

1. Generate: HSM/KMS-ում, էքսպորտի քաղաքականության հետ = արգելված է։

2. Publish 'ասիմետրիայի համար - JWKS/վկայագիր' kid '։

3. Use: հեռավոր վիրահատություններ (som/decrypt) վերահսկվող IAM-ի հետ։

4. Rotate: սկսել «next» բանալին և ներառել dox-accept։

5. Retire: թարգմանել հին «retiring», ապա «revoked»։

6. Destroy: ոչնչացնել նյութը (www.purge) բանավեճերի պատուհանից հետո։

5) Ռոտացիան 'ռազմավարություն

Scheduled: օրացուցային (օրինակ, յուրաքանչյուր 1-3 ամիս ստորագրելու համար JWT, 6-12 մեզ TIM սերտերի համար)։

Rolling: սպառողների աստիճանական փոխանցումը (JWKS արդեն պարունակում է նոր բանալին։ Թիթեռը սկսում է նոր ստորագրել կեշերի տաքացումից հետո)։

Forced (1934): Ռուսական ռոտացիան փոխզիջման ժամանակ; կարճ պատուհան dox-accept, արտեֆակտների ագրեսիվ մաքրում։

Staggered per region/tenae: Որպեսզի միևնույն ժամանակ չփորձենք ամբողջ աշխարհը։

Ոսկու կանոնը 'սկզբում հրատարակումը, հետո ստորագրությունը նոր է, և միայն դրանից հետո' հին։

6) Dox-key պատուհանը (անպատասխանատու փոփոխություն)

Մենք հրապարակում ենք JWKS-ը հին և նոր «kid» -ի հետ։

Վերիֆիկատորները երկուսն էլ ընդունում են։

Ռոտտերը N րոպե/ժամ հետո սկսում է ստորագրել նոր։

Դիտարկենք հին/նոր 'kid "ստուգումների մասնաբաժինը։

Երբ ռետայրիմը հասնում է վերջնական մասնաբաժնի, հին է։

yaml jwks:
keys:
- kid: "eu-core-es256-2025-10" # new alg: "ES256"
use: "sig"
crv: "P-256"
x: "<...>"; y: "<...>"
- kid: "eu-core-es256-2025-07" # old alg: "ES256"
use: "sig"
...

7) Ստորագրության և վալիդացիայի քաղաքականությունը

Լռելյայն ալգորիթմները 'ES256/EdDSA ստորագրության համար։ RSA-PSA-ը այնտեղ, որտեղ անհրաժեշտ է։

Արգելքը 'none '/թույլ ալգորիթմներ; whitelisting կողմում։

Clock skew: Թույլ ենք տալիս 300 c տրամաբանական շեղումներ։

Key pinning (ներքին ծառայություններ) և կարճ TTL JWKS-kesa (30-60 s)։

8) Envelope-կոդավորումը և KDF-ը։

Պահեք տվյալները այսպես

ciphertext = AEAD_Encrypt(DEK, plaintext, AAD=tenant    region    table    row_id)
DEK = KMS. Decrypt (KEK, EncryptedDEK )//on access
EncryptedDEK = KMS. Encrypt (KEK, DEK )//on write

KEK (Key Encryption Key) պահպանվում է KFC/HSM-ում, պարբերաբար պտտվում է։

DEK ստեղծվում է օբյեկտի/կուսակցության վրա։ KEK-ի լուծարման ժամանակ մենք կատարում ենք re-wrap (արագ, առանց տվյալների)։

Հոսքերի համար ECDH + HKDF-ն է, որպեսզի դուրս գա համառոտ ռուսական ջրանցքը։

9) Համառություն և մուլտֆիլմ-տենանտ

Բանալիները և JWKS-ը գերագնահատված են '«eu-international», «latam-2019» - տարբեր կոմպոզիցիաների հավաքածուներ։

IAM/2019 բաժանումը tenault/region; բանալիները չեն «հոսում» բնակիչների միջև։

"kid 'կոդավորում վստահության տիրույթի նախածանցով'" eu-2019-es256-2025-10 "։

10) Ինտեգրման գաղտնիքները (HMAC, API-բանալիներ)

Պահել KMS-backed Secret Store-ում, որը տեղադրված է shast-lived client secrets (rotation policy 2490 օր) միջոցով։

Երկու ակտիվ գաղտնիքների աջակցությունը (dance-secret) ռոտացիայի ժամանակ։

Webhuks-ի համար 'timestamp + HMAC մարմնի ստորագրությունը։ ժամանակի պատուհանը 355 ռուբլի է։

11) Հասանելիության և գործընթացների կառավարումը

IAM-մատրիցը 'ո՞ վ կարող է «generate», «decrypt», «rotate», «destroy» (նվազագույն դերեր)։

4-աչքի սկզբունքը 'զգայուն վիրահատությունները պահանջում են երկու ապացույց։

Change windows: Նոր ստեղնը ներառելու պատուհանը և թեստային կանարյան տարածքները։

Runbooks: Scheduled-ի և forced-ի տեսակները։

12) Դիտողությունն ու աուդիտը

Մետրիկները

`sign_p95_ms`, `decrypt_p95_ms`, `jwks_skew_ms`,

սպառումը 'kid', «old _ kid _ usage _ ratio»,

`invalid_signature_rate`, `decrypt_failure_rate`.

Լոգա/Աուդիտ

Ստորագրման/գաղտնագրման յուրաքանչյուր վիրահատություն '«who/what/when/where/whid/kid/purpose»։

Ստատուսների պատմությունը կատարվում է և հարցումներ միգրացիայի/ռևոկացիայի համար։

HSM-ի հավաստագրությունը, հիմնական նյութերի հասանելիության ամսագրերը։

13) Պլեյբուկի (միջադեպեր)

1. Ստորագրության բանալին փոխզիջում

Վերը նշված հին 'kid' (կամ թարգմանությունը 'retiring' նվազագույն պատուհանով), նոր JWKS-ի հրատարակումը, կրճատված TTL-ը, fors-logout/RT հաշմանդամությունը, ինտեգրման սեփականատերերի հաղորդակցումը, ռետրո աուդիտը։

2. Զանգվածային 'MSALID _ SIGNATURE "ռոտացիայից հետո

Ստուգել JWKS/clock skew-ը, վերադարձնել dox-accept, երկարացնել պատուհանը, ուղարկել հաճախորդներին։

3. KFC/HSM լատենտության աճը

Միացրեք տեղական ստորագրությունների քեշը անընդունելի է. փոխարենը 'batch/queue կերամիկական, autoscaling HSM-ը, կրիտիկական հոսքերի գերակայությունը։

4. Մեկ տարածաշրջանի մերժումը

Ակտիվացնել տարածաշրջանային մեկուսացման ընթացակարգերը։ ոչ թե «քաշել» բանալիները այլ տարածաշրջաններից. քայքայել այն գործառույթները, որոնք կապված են ստորագրությունների վրա ընկած տարածաշրջանում։

14) Թեստավորում

Euract: JWKS-ի ճիշտ, ճիշտ 'kid '/alg/use, հաճախորդների համատեղելիությունը։

Negative: կեղծ ստորագրություն, հնացած «kid», սխալ alg, clock skew։

Chaos 'ակնթարթային ռոտացիա, KFC անհասանելիություն, ժամանակի «դրեյֆ»։

Load: Ստորագրությունների գագաթնակետը (JWT/webhooks), գաղտնագրման գագաթը (PII/վճարումը)։

E2E: dox-key պատուհանը 'ավարտը' veriation - փոխանցման փոխանցումը հին։

15) Կազմաձևի օրինակ (YAML)

yaml crypto:
regions:
- id: "eu-core"
jwks_url: "https://sts. eu/.well-known/jwks. json"
rotation:
jwt_sign: { interval_days: 30, window_dual: "48h" }
webhook: { interval_days: 60, window_dual: "72h" }
kek:   { interval_days: 90, action: "rewrap" }
alg_policy:
sign: ["ES256","EdDSA"]
tls: ["TLS1. 2+","ECDSA_P256"]
publish:
jwks_cache_ttl: "60s"
audit:
hsm_attestation_required: true two_person_rule: true

16) JWKS-ի և մարկերի օրինակը արտեֆակտներում

JWT-հեդերի հատվածը

json
{ "alg":"ES256", "kid":"eu-core-es256-2025-10", "typ":"JWT" }

JWKS (հանրային մասը)

json
{ "keys":[
{"kty":"EC","use":"sig","crv":"P-256","kid":"eu-core-es256-2025-10","x":"...","y":"..."},
{"kty":"EC","use":"sig","crv":"P-256","kid":"eu-core-es256-2025-07","x":"...","y":"..."}
]}

17) Anti-patterna

Երկար գոյատևող բանալիները «տարիների ընթացքում» և ընդհանուր բոլոր տարածաշրջանների համար։

Ռոտացիան «մի պահ» առանց dox-accept-ի։

Մասնավոր միգրանտների արտահանումը KFC/HSM «արագ»։

Առաջադրանքների խառնուրդը 'JWT-ի ստորագրման բանալին և տվյալների կոդավորումը։

Ամսագրերի/հավաստագրման բացակայությունը HSM և IAM սահմանափակումներ։

Չկա re-wrap մեխանիզմ DEK-ի համար, երբ KEK-ը լուծարվում է։

Ձեռքով «գաղտնիքները» env-ի փոխարեն Secret Store-ի փոխարեն։

18) Չեկ թուղթ մինչև վաճառելը

• Բոլոր մասնավոր բանալիները KFC/HSM-ում; IAM-մատրիցը և 4-աչքի սկզբունքը տրամադրված են։
• Ալգորիթմների, երկարության և կյանքի երկարության քաղաքականությունները հաստատված են։
• Ներառված է dox-key գործընթացը '«kid» մասնաբաժնի մոնիտորինգի հետ։
• JWKS-ը հրապարակվում է կարճ TTL-ով և կեշի մեղքով։ հաճախորդները ընդունում են 242 բանալին։
• Envelope-կոդավորումը 'KEK-ն պտտվում է, DEK re-wrap առանց անցքի։
• Բնակարանային մեկուսացումը և առանձին հավաքածուները պատրաստված են ստենանտների միջոցով։
• Պլեյբուկները փոխզիջման/ռոլինգ/ֆորս։ մարզման դաշտերը։
• Metriki («old _ kid _ usage _ ratio», «medalid _ signature _ rate») և ալտերտերը ներառված են։
• Www.ract/negative/chaos/load/E2E թեստերը անցան։
• Ինտեգրման համար 'ինչպես մշակել «kid» փոփոխությունը, որ պատուհաններն ու սխալները։

Եզրակացություն

Բաների կառավարումը վիրահատական առարկա է 'KFC/HSM որպես ճշմարտության աղբյուր, պարամետրեր և անվտանգ ռոտացիաներ dj-key-ից, երկրորդային և ստենանտային մեկուսացումից, envelope-կոդավորումը և դիտարկումը։ Այս կանոններին հետևելով ՝ դուք ստանում եք կրիպտոկոնտուր, որը մեծանում է, կապված է միջադեպերի հետ և հեշտությամբ բացատրում հանդիսատեսին, իսկ զարգացողներն ու ինտեգրատորները զգում են ցանկացած փոփոխություն առանց ցավի։