密碼學基礎與應用
設DEK為資料加密金鑰、KEK為金鑰加密金鑰。關於雲端儲存等所使用之信封加密的說明，正確的是下列何者？
- A以DEK加密資料，DEK則以金鑰管理服務內部的KEK加密，並與資料一起保存
- B把所有資料送到金鑰管理服務，請它以金鑰管理服務內部的1把金鑰直接加密資料
- C把加密資料所用的金鑰，不經加密就保存在與密文相同的位置，以便取用
查看答案與解析
正確答案：A. 以DEK加密資料，DEK則以金鑰管理服務內部的KEK加密，並與資料一起保存
信封加密中，每筆資料都產生DEK並以對稱式加密來加密資料，DEK則以KMS或HSM內部的KEK加密（包裝），保存在已加密資料的旁邊。不需要把大量資料送到金鑰管理服務，KEK也不會離開裝置，因此必須嚴加保護的金鑰能集中為少數幾把。更新KEK時，不必重新加密全部資料，只要重新加密較小的DEK即可。讀取資料時，請KMS解密被包裝的DEK，再於本地解密資料。
- A. 正確。這是把包住資料的金鑰，再以另一把金鑰包起來的兩層方式。
- B. 若傳送所有資料，通訊量與處理負荷都會變大。送到金鑰管理服務的只有較小的DEK。
- C. 若把加密用的金鑰以明文放在旁邊，偷走資料的人也會一併取得金鑰。