Server加密-旋转用于PCI兼容的密钥

Question

日安，

不确定这个问题是否更适合这样或SF..。

PCI遵从性要求每年对密钥进行轮换。我经常遇到的“密钥旋转”的定义是解密您的数据，然后用新密钥重新加密。真的？每个人每年都在解密/加密他们所有的加密数据？

目前，我在3个服务器上有16个数据库，每个数据库中有多个表，而且这种情况将继续增长。手工操作会给错误带来巨大的机会，使我的数据无法读取。是的，我可以写一些东西来做this...but，这真的是每个人都在做的吗？你能推荐一个负担得起的(主观的，我知道)第三方工具吗？

我已经看到了一些关于“改变”高层键的建议。我们使用数据库主密钥加密证书的oft推荐的层次结构，它加密对称密钥，对数据进行加密。

首先，这似乎不符合“旋转键”的定义。第二，即使我更改了DMK或Cert，这也不能阻止数据被解密，而这个对称密钥可能是坏人窃取/破解的。

谢谢!

Answer 1

您没有解密和重新加密整个数据库，只是用于保护数据的对称密钥。数据库在此操作期间是加密的，需要几秒钟。

只需测试它，并编写一个简单的脚本，它将每年做一次。

记住永远保留旧钥匙，这是强烈推荐的。它们可能需要恢复旧的备份。