Cryptographic key — kriptografik algoritmning natijasini boshqaruvchi maxfiy yoki ochiq parametrdir. Bir xil algoritm turli kalit bilan butunlay boshqa shifrlash, deshifrlash, imzolash yoki tekshirish natijasini beradi. Tizim xavfsizligi algoritmni yashirishga emas, to‘g‘ri yaratilgan kalitni belgilangan hujumchidan himoya qilishga tayanadi.
Kalit turlari
Simmetrik kriptografiyada bir xil sir odatda shifrlash va ochish uchun ishlatiladi. U yuqori tezlikda katta ma’lumotni himoyalashga mos, ammo tomonlar sirni xavfsiz ulashishi kerak. Asimmetrik kriptografiyada matematik bog‘langan public va private key jufti mavjud. Public key tarqatiladi, private key esa egasida maxfiy qoladi.
Digital signatureda private key imzo hosil qiladi, public key uni tekshiradi. Public-key encryptionda esa public key bilan shifrlangan sirni tegishli private key ochadi. Bir kalit juftini bir nechta maqsad uchun ishlatish protokollararo hujumlarni kuchaytirishi mumkin; key usage metadata va sertifikat cheklovlari maqsadni ajratadi.
Entropiya va uzunlik
Kalit xavfsizligi faqat bitlar soniga emas, ularning oldindan aytib bo‘lmasligiga bog‘liq. 256 bitli maydonga ega, lekin inson tanlagan iboradan olingan qiymat amalda kichik qidiruv maydoniga ega bo‘lishi mumkin. Kalitlar cryptographically secure pseudorandom number generator orqali yaratiladi; generator operatsion tizim entropiyasi bilan to‘g‘ri seed qilinadi.
Kalit uzunliklarini turli algoritmlar orasida bevosita taqqoslab bo‘lmaydi. Masalan, simmetrik 128 bitli kalit va RSA moduli bir xil o‘lcham talabiga ega emas, chunki ularga hujum algoritmlari turlicha. Kerakli parametr standart, tahdid muddati va ishlatiladigan algoritm oilasi asosida tanlanadi.
Hayot sikli
Kalit yaratiladi, aktivlashtiriladi, foydalaniladi, rotatsiya qilinadi, arxivlanadi va nihoyat yo‘q qilinadi. Har bosqichga egasi, maqsadi, algoritmi, yaratilgan va tugash sanasi kabi metadata bog‘lanadi. Key ID kalitning o‘zi emas; u KMS ichidagi materialga murojaat qiluvchi identifikatordir.
Private yoki secret key source code, log va oddiy konfiguratsiyada saqlanmaydi. HSM yoki KMS kalitni non-exportable qilib, ilovaga faqat cryptographic operation APIini beradi. Backup va disaster recovery nusxasi ham asosiy nusxa bilan teng nazoratda bo‘ladi. Keraksiz nusxa kalitni o‘chirish kafolatini zaiflashtiradi.
Komprometatsiya ta’siri
Shifrlash kaliti oshkor bo‘lsa, shu kalitga tegishli ciphertext ochilishi mumkin. Signing private key o‘g‘irlansa, hujumchi haqiqiyga o‘xshash imzo yaratadi. Forward secrecy ishlatilgan protokolda uzoq muddatli kalitning keyingi komprometatsiyasi avvalgi sessiya kalitlarini avtomatik ochmasligi mumkin.
Komprometatsiyada kalit revocation qilinadi, yangi versiya tarqatiladi va ta’sir doirasi inventar orqali aniqlanadi. Oddiy rotatsiya hujumchi saqlab olgan eski ciphertext yoki oldin qalbakilashtirilgan imzoni bekor qilmaydi. Sertifikat, token, backup va downstream trust storelar ham hodisa rejasiga kiradi.
Kalit va parol
Parol inson eslab qolishi uchun yaratiladi va odatda kalitga qaraganda kamroq entropiyaga ega. Uni to‘g‘ridan-to‘g‘ri encryption key sifatida ishlatish o‘rniga saltli, sekin Key Derivation Function qo‘llanadi. KDF taxminlarning narxini oshiradi, ammo zaif parolni tasodifiy kalit darajasiga aylantirmaydi. Kalit materialini matn ko‘rinishida kodlash, masalan Base64, uni shifrlamaydi.
Kriptografik kalitni serializatsiya qilishda format ham xavfsizlik chegarasidir. PEM yoki DER container algoritm va public materialni ifodalashi mumkin, lekin private key fayli shifrlanganmi, access permissioni qanday va parser ishonchsiz inputni qanday tekshirishi alohida nazorat qilinadi.
Bog‘liq tushunchalar
Symmetric encryption, Public-key cryptography, Key Management System, Entropy, Key Derivation Function, Key rotation, Digital signature