proto.lib

Xoay khóa DEK/KEK: rotate master mà không đụng petabyte dữ liệu

Dữ liệu được mã hoá bằng một Data Encryption Key (DEK) riêng cho từng object, còn DEK đó lại được bọc bởi một Key Encryption Key (KEK/master key); rotate MASTER chỉ cần unwrap và re-wrap lại các DEK nhỏ, không đụng tới dữ liệu, còn rotate một DEK bị lộ buộc phải re-encrypt lại chính object mà nó bảo vệ.

SecurityNâng cao2026-08-25
Xoay khóa DEK/KEK: rotate master mà không đụng petabyte dữ liệu

Tags

#dek#kek#key-rotation#envelope-encryption#kms#audit-trail

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityTrung bình

Envelope Encryption với KMS

Ứng dụng mã hóa dữ liệu bằng data key cục bộ, sau đó dùng KMS để bọc (wrap) data key bằng master key, tránh gửi dữ liệu lớn tới KMS.

#encryption#kms#envelope-encryption#data-key
SecurityTrung bình

Cấp quyền cho AI Agent: Delegated Scope thay vì Admin Token

Một agent hành động thay mặt user phải mang một credential được uỷ quyền (delegated), phạm vi hẹp và sống ngắn — không phải token admin của cả dịch vụ — để việc agent được làm gì luôn bị giới hạn bởi những gì chính user đó được phép làm, trừ đi phần đã loại trừ khi uỷ quyền.

#authorization#ai-agent#delegated-credential#least-privilege
SecurityTrung bình

Signed Cookie vs Signed URL: bảo vệ media riêng trên CDN

Signed URL cấp quyền cho MỘT object cụ thể, dễ phát và dễ lộ qua log/referrer; signed cookie cấp quyền cho cả một path/prefix trong một session, ít chữ ký hơn nhưng đi kèm mọi request và cần domain giới hạn phạm vi — cả hai đều phải sống ngắn, giới hạn theo IP/path khi có thể, và revoke được bằng xoay key.

#signed-url#signed-cookie#cdn#access-control