Zarf Şifreleme (Envelope Encryption)

Zarf şifreleme, iki katmanlı bir anahtar düzenidir: verinizi hızlı, nesne başına bir veri şifreleme anahtarıyla (DEK) şifreler, ardından o DEK'i bir anahtar yönetim hizmetinde (KMS) tutulan, iyi korunan ayrı bir anahtar şifreleme anahtarıyla (KEK) şifrelersiniz. Şifrelenmiş DEK, mühürlü bir zarf gibi şifreli metnin hemen yanında saklanır; KEK ise KMS'den asla çıkmaz. Bu, aynı anda iki sorunu çözer — DEK'ler simetrik ve yerel olduğu için toplu veri şifreleme hızlı kalır ve anahtar döndürme ucuzlar, çünkü KEK'i döndürmek terabaytlarca veriyi değil yalnızca küçük DEK'leri yeniden şifreler. Bu, çoğu bulut 'beklemedeyken şifreleme'nin altındaki desendir ve kendi anahtarını getir modelini uygulamanın temiz bir yoludur. Pratik not: DEK'leri KMS'nizin üretip sarmalamasına izin verin, her istekte bir KMS çağrısından kaçınmak için çözülmüş DEK'leri bellekte kısa süre önbelleğe alın, müşteriler yalıtım istediğinde KEK'leri kiracı başına kapsayın ve kimin neyi çözdüğünü gösteren bir denetim izi için her KEK kullanımını günlüğe yazın.