应用程序级加密和密钥续订

Question

我有一个问题与在应用程序级别加密数据库中的数据有关。

应用程序会在将数据持久保存到数据库时对数据进行加密（例如使用AES），并在数据从数据库中检索后解密数据。

是否有任何良好的技术来更新加密密钥。

例如，如果一家公司有一个每两年更新一次加密密钥的政策，那么我们最终必须用旧密钥解密整个数据库，并每两年用新密钥重新加密一次。

有没有技术可以避免这样的问题？

Answer 1

不，您必须解密旧数据并重新加密新数据。确保保留“密钥标识符”以确定数据加密的密钥。

有关更多信息，请参阅cryptoperiods in the NIST key management document。您还可以在文档中搜索“重新加密”。