Co powinien zawierać inwentarz kryptografii?

Dla każdego miejsca, w którym kryptografia coś chroni, zapisz, co jest chronione, w jaki sposób i kto może to zmienić. Praktyczne pola: system lub usługa i jej właściciel; co chroni, z rodzajem danych i liczbą lat, przez które muszą pozostać tajne; protokół, na przykład TLSTLS: Transport Layer Security. Szyfrowanie, które chroni większość ruchu w internecie, na przykład HTTPS., SSH, IPsec, S/MIME, podpisywanie kodu albo szyfrowanie dysków i baz danych; algorytmy wymiany kluczy, podpisu i szyfrowania z długościami kluczy; certyfikaty, ich wystawca i data ważności; wersja biblioteki lub produktu i to, czy dostawca ma plan postkwantowy; oraz czy algorytm można zmienić konfiguracją. Dodaj priorytet wyprowadzony z nierówności Moski. Źródła różnią się w zależności od warstwy: obserwacja sieci dla tego, co przechodzi przez łącze, zarządzanie certyfikatami i skanery dla certyfikatów, analiza składu oprogramowania i ankiety dla dostawców dla tego, co siedzi w aplikacjach. Inwentarz zawierający tylko certyfikaty pomija wymianę kluczy, a zbudowany tylko z sieci pomija dane przechowywane. Utrzymuj go na bieżąco, bo każda aktualizacja może zmienić odpowiedź, i datuj każdy wpis: audytorzy i przetargi pytają, kiedy go ostatnio sprawdzono.

Ta odpowiedź jest częścią przewodnika: Kryptografia postkwantowa: od czego zacząć

← Wszystkie pytania (33): Kryptografia postkwantowaWszystkie tematy