الإدارة الرئيسية

قبل أي اتصال آمن، يجب على المستخدمين تحديد تفاصيل التشفير. في بعض الحالات، قد يتطلب ذلك تبادل مفاتيح متطابقة (كما في نظام المفاتيح المتناظرة). وفي حالات أخرى، قد يتطلب الأمر امتلاك المفتاح العام للطرف الآخر. بينما يمكن تبادل المفاتيح العامة علنًا (مع الحفاظ على سرية المفتاح الخاص المقابل)، يجب تبادل المفاتيح المتناظرة عبر قناة اتصال آمنة. في السابق، كان تبادل هذا النوع من المفاتيح بالغ الصعوبة، وقد سُهِّل كثيرًا بفضل الوصول إلى قنوات آمنة مثل الحقيبة الدبلوماسية . إن تبادل المفاتيح المتناظرة كنص واضح سيمكن أي معترض من معرفة المفتاح، وأي بيانات مشفرة، على الفور.

أدى التقدم الذي شهده التشفير بالمفتاح العام في سبعينيات القرن الماضي إلى تسهيل تبادل المفاتيح. فمنذ نشر بروتوكول تبادل مفاتيح ديفي-هيلمان عام ١٩٧٥، أصبح من الممكن تبادل المفاتيح عبر قنوات اتصال غير آمنة، مما قلل بشكل كبير من مخاطر كشف المفاتيح أثناء التوزيع. وباستخدام ما يشبه شفرة كتاب ، يمكن تضمين مؤشرات المفاتيح كنص واضح مرفق برسالة مشفرة. وكانت تقنية التشفير التي استخدمها كاتب الشفرات لدى ريتشارد سورج من هذا النوع، حيث كانت تشير إلى صفحة في دليل إحصائي، مع أنها كانت في الواقع شفرة. أما مفتاح التشفير المتناظر لجهاز إنجما التابع للجيش الألماني ، فكان من النوع المختلط في بدايات استخدامه؛ إذ كان المفتاح مزيجًا من جداول مفاتيح موزعة سرًا ومكون مفتاح جلسة يختاره المستخدم لكل رسالة.

في الأنظمة الحديثة، مثل الأنظمة المتوافقة مع OpenPGP ، يتم توزيع مفتاح الجلسة لخوارزمية المفتاح المتناظر مشفرًا بواسطة خوارزمية المفتاح غير المتناظر . هذا الأسلوب يُغني حتى عن استخدام بروتوكول تبادل المفاتيح مثل تبادل مفاتيح ديفي-هيلمان.

تتضمن إحدى طرق تبادل المفاتيح تغليف مفتاح داخل مفتاح آخر. عادةً ما يتم إنشاء مفتاح رئيسي وتبادله باستخدام طريقة آمنة. لكن هذه الطريقة عادةً ما تكون معقدة أو مكلفة (كتقسيم المفتاح الرئيسي إلى أجزاء متعددة وإرسال كل جزء عبر شركة شحن موثوقة، على سبيل المثال)، وغير مناسبة للاستخدام على نطاق واسع. بمجرد تبادل المفتاح الرئيسي بشكل آمن، يمكن استخدامه لتبادل المفاتيح اللاحقة بسهولة وأمان. تُعرف هذه التقنية عادةً باسم " تغليف المفتاح" . وتستخدم إحدى التقنيات الشائعة تشفير الكتل ووظائف التجزئة التشفيرية .

تتمثل إحدى الطرق المشابهة في تبادل مفتاح رئيسي (يُسمى أحيانًا مفتاح الجذر) واستخلاص مفاتيح فرعية حسب الحاجة من هذا المفتاح وبيانات أخرى (تُعرف غالبًا ببيانات التنويع). ولعلّ الاستخدام الأكثر شيوعًا لهذه الطريقة هو في أنظمة التشفير القائمة على البطاقات الذكية ، كتلك الموجودة في البطاقات المصرفية. يقوم البنك أو شبكة الائتمان بتضمين مفتاحه السري في وحدة تخزين المفاتيح الآمنة للبطاقة أثناء إنتاجها في منشأة إنتاج مؤمّنة. ثم عند نقطة البيع، تستطيع كل من البطاقة وقارئ البطاقات استخلاص مجموعة مشتركة من مفاتيح الجلسة بناءً على المفتاح السري المشترك وبيانات خاصة بالبطاقة (مثل الرقم التسلسلي للبطاقة). يمكن استخدام هذه الطريقة أيضًا عندما يكون من الضروري ربط المفاتيح ببعضها (أي ربط مفاتيح الأقسام بمفاتيح الشعب، والمفاتيح الفردية بمفاتيح الأقسام). مع ذلك، فإن ربط المفاتيح ببعضها بهذه الطريقة يزيد من الضرر الذي قد ينتج عن اختراق أمني، إذ سيتعرف المهاجمون على معلومات حول أكثر من مفتاح. وهذا يقلل من العشوائية، بالنسبة للمهاجم، لكل مفتاح مُستخدم.

تستخدم إحدى الطرق الحديثة دالة شبه عشوائية غير واعية لإصدار المفاتيح دون أن يكون نظام إدارة المفاتيح قادراً على رؤية هذه المفاتيح. ^{[ 5 ]}

بغض النظر عن طريقة توزيع المفاتيح، يجب تخزينها بشكل آمن للحفاظ على أمن الاتصالات. يُعدّ الأمن مصدر قلق بالغ ^{[ 6 ] [ 7 ]} ، ولذا تُستخدم تقنيات متنوعة لتحقيقه. ولعلّ أكثرها شيوعًا هو استخدام تطبيق تشفير لإدارة المفاتيح نيابةً عن المستخدم، ويعتمد على كلمة مرور للتحكم في استخدامها. وبالمثل، في حالة منصات الوصول بدون مفاتيح عبر الهواتف الذكية، تُحفظ جميع معلومات تعريف الدخول بعيدًا عن الهواتف المحمولة والخوادم، ويتم تشفير جميع البيانات، حيث لا يُعطي المستخدمون الرموز إلا لمن يثقون بهم، تمامًا كما هو الحال مع المفاتيح التقليدية. ^{[ 6 ]}

فيما يتعلق باللوائح، هناك القليل منها الذي يتناول تخزين المفاتيح بتفصيلٍ دقيق. "بعضها يتضمن إرشاداتٍ بسيطة مثل 'لا تخزن المفاتيح مع البيانات المشفرة' أو يقترح 'يجب حفظ المفاتيح بشكلٍ آمن'." ومن الاستثناءات البارزة لذلك معيار PCI DSS 3.2.1، ومعيار NIST 800-53، ومعيار NIST 800-57. ^{[ 7 ]}

لتحقيق أقصى درجات الأمان، يمكن تخزين المفاتيح في وحدة أمان الأجهزة (HSM) أو حمايتها باستخدام تقنيات مثل بيئة التنفيذ الموثوقة (TEE، مثل Intel SGX ) أو الحوسبة متعددة الأطراف (MPC). تشمل البدائل الأخرى استخدام وحدات النظام الأساسي الموثوقة (TPM) ^{[ 8 ]،} ووحدات أمان الأجهزة الافتراضية، والمعروفة أيضًا باسم "وحدات أمان الأجهزة منخفضة التكلفة" (pmHSM) ^{[ 9 ]} ، أو مصفوفات البوابات المنطقية القابلة للبرمجة الميدانية غير المتطايرة (FPGA) مع تكوينات النظام على شريحة (SoC) الداعمة. ^{[ 10 ]} وللتحقق من سلامة المفتاح المخزن دون المساس بقيمته الفعلية، يمكن استخدام خوارزمية التحقق من صحة المفتاح (KCV) .

تكمن المشكلة الرئيسية في مدة صلاحية المفتاح، وبالتالي في وتيرة استبداله. ولأن ذلك يزيد من الجهد المطلوب من أي مهاجم، ينبغي تغيير المفاتيح بشكل متكرر. كما يحدّ هذا من فقدان المعلومات، إذ يقل عدد الرسائل المشفرة المخزنة التي ستصبح قابلة للقراءة عند العثور على المفتاح مع ازدياد وتيرة تغييره. تاريخيًا، استُخدمت المفاتيح المتناظرة لفترات طويلة في حالات كان فيها تبادل المفاتيح صعبًا للغاية أو ممكنًا بشكل متقطع. من الناحية المثالية، ينبغي أن يتغير المفتاح المتناظر مع كل رسالة أو تفاعل، بحيث تصبح تلك الرسالة فقط قابلة للقراءة في حال تم اكتشاف المفتاح ( مثلًا ، سرقته، أو تحليله تشفيريًا، أو هندسته اجتماعيًا).

نظام إدارة المفاتيح (KMS)، المعروف أيضًا بنظام إدارة مفاتيح التشفير (CKMS) أو نظام إدارة مفاتيح المؤسسة (EKMS)، هو منهج متكامل لإنشاء وتوزيع وإدارة مفاتيح التشفير للأجهزة والتطبيقات. ويشمل هذا النظام جميع جوانب الأمان، بدءًا من إنشاء المفاتيح بشكل آمن، مرورًا بتبادلها بشكل آمن، وصولًا إلى معالجتها وتخزينها بشكل آمن على جهاز المستخدم. وبالتالي، يتضمن نظام إدارة المفاتيح وظائف الواجهة الخلفية لإنشاء المفاتيح وتوزيعها واستبدالها، بالإضافة إلى وظائف واجهة المستخدم لإدخال المفاتيح وتخزينها وإدارتها على الأجهزة.

طوّرت العديد من التطبيقات المتخصصة أنظمة إدارة مفاتيح خاصة بها باستخدام بروتوكولات محلية الصنع. ومع ذلك، مع ازدياد ترابط الأنظمة، تزداد الحاجة إلى مشاركة المفاتيح بين هذه الأنظمة المختلفة. ولتسهيل ذلك، تطورت معايير إدارة المفاتيح لتحديد البروتوكولات المستخدمة لإدارة وتبادل مفاتيح التشفير والمعلومات ذات الصلة.

بروتوكول إدارة المفاتيح KMIP هو بروتوكول قابل للتوسيع تم تطويره من قبل العديد من المنظمات العاملة ضمن هيئة معايير OASIS . صدرت النسخة الأولى منه في عام 2010، واستمر تطويره من قبل لجنة فنية نشطة.

يُتيح هذا البروتوكول إنشاء المفاتيح وتوزيعها بين أنظمة البرمجيات المختلفة التي تحتاج إلى استخدامها. وهو يُغطي دورة حياة المفاتيح الكاملة، سواءً كانت متناظرة أو غير متناظرة، بمختلف الصيغ، بالإضافة إلى تغليف المفاتيح، وآليات التزويد، والعمليات التشفيرية، فضلاً عن البيانات الوصفية المرتبطة بها.

يتم دعم البروتوكول بسلسلة واسعة من حالات الاختبار، ويتم إجراء اختبارات التوافق بين الأنظمة المتوافقة كل عام.

• 
  اختبارات التوافق الفردية التي أجرتها كل مجموعة من موردي الخوادم/العملاء منذ عام 2012
• 
  نتائج اختبارات التوافق التشغيلي لبرنامج OASIS KMIP لعام 2017

يمكن العثور على قائمة تضم حوالي 80 منتجًا تتوافق مع معيار KMIP على موقع OASIS الإلكتروني .

البنية التحتية للمفاتيح العامة هي نوع من أنظمة إدارة المفاتيح التي تستخدم شهادات رقمية هرمية لتوفير المصادقة، ومفاتيح عامة لتوفير التشفير. تُستخدم هذه البنية في حركة مرور شبكة الإنترنت العالمية، وعادةً ما تكون على شكل بروتوكولات SSL و TLS .

إدارة مفاتيح المجموعة تعني إدارة المفاتيح في الاتصالات الجماعية. تستخدم معظم الاتصالات الجماعية تقنية البث المتعدد ، بحيث إذا أرسل المرسل رسالةً واحدة، فسيستلمها جميع المستخدمين. تكمن المشكلة الرئيسية في اتصالات البث المتعدد الجماعية في أمانها. ولتحسين الأمان، تُمنح مفاتيح متعددة للمستخدمين. باستخدام هذه المفاتيح، يمكن للمستخدمين تشفير رسائلهم وإرسالها سرًا. أصدرت IETF.org المواصفة RFC 4046، بعنوان "هندسة إدارة مفاتيح المجموعة لأمان البث المتعدد (MSEC)"، والتي تناقش تحديات إدارة مفاتيح المجموعة. ^{[ 53 ]}