Wat hoort er in een crypto-inventaris?

Leg voor elke plek waar cryptografie iets beschermt vast wat er wordt beschermd, hoe, en wie het kan wijzigen. Praktische velden: het systeem of de dienst en de eigenaar; wat het beschermt, met het soort gegevens en hoeveel jaar ze geheim moeten blijven; het protocol, zoals TLSTLS: Transport Layer Security. De versleuteling die het meeste internetverkeer beschermt, zoals HTTPS., SSH, IPsec, S/MIME, codeondertekening of schijf- en databaseversleuteling; de algoritmen voor sleuteluitwisseling, handtekeningen en versleuteling, met sleutellengtes; certificaten, hun uitgever en vervaldatum; de versie van bibliotheek of product en of de leverancier een post-kwantumplan heeft; en of het algoritme via configuratie te wijzigen is. Voeg een prioriteit toe op basis van de ongelijkheid van Mosca. De bronnen verschillen per laag: netwerkobservatie voor wat over de lijn gaat, certificaatbeheer en scanners voor certificaten, software-compositieanalyse en vragenlijsten voor leveranciers voor wat in applicaties zit. Een inventaris met alleen certificaten mist sleuteluitwisseling, en een die alleen uit het netwerk komt mist opgeslagen gegevens. Houd hem actueel, want elke update kan het antwoord veranderen, en dateer elk item: auditors en aanbestedingen vragen wanneer hij voor het laatst is gecontroleerd.

← Alle 33 vragen over Post-kwantumcryptografieAlle onderwerpen