BYOK: Företagskontroll över krypteringen

För många företags säkerhetsteam är kryptering en nödvändig men inte tillräcklig förutsättning. Den avgörande frågan är inte om data är krypterad, utan vem som har nycklarna. Om plattformsleverantören kontrollerar krypteringsnycklarna kan leverantören – eller vem som helst som kan tvinga leverantören – dekryptera data. Krypteringen finns där, men kunden har ingen verklig kontroll över den.

Mandrakis BYOK-funktion (“Bring Your Own Key”) tar itu med detta direkt. Den låter organisationer tillhandahålla sina egna krypteringsnycklar, vilket säkerställer att den kryptografiska kontrollen alltid stannar hos kunden.

Nyckelhierarkin i tre lager

För att förstå BYOK är det bra att förstå Mandrakis övergripande krypteringsarkitektur. Vi använder en kuvertkrypteringsmodell i tre lager.

Överst finns Masternyckeln, som skyddar allt under den. I en standarddriftsättning genererar och hanterar Mandraki denna nyckel. I en BYOK-driftsättning tillhandahåller kunden den.

Det andra lagret består av organisationsnycklar – en per organisation. Varje organisationsnyckel krypteras (omsluts) av Masternyckeln och lagras i databasen i omsluten form. När den behövs packas organisationsnyckeln upp i minnet, används och slängs sedan. Uppackade nycklar hålls i en LRU-cache i minnet med en livslängd på fem minuter av prestandaskäl, men skrivs aldrig till disk eller lagras i Redis.

Det tredje lagret består av datakrypteringsnycklar (DEK), en för varje ändamål: meddelanden, filer, inspelningar och transkriptioner. Varje DEK omsluts av organisationsnyckeln. Det är DEK:erna som faktiskt krypterar och dekrypterar data med hjälp av AES-256-GCM.

Den här lagerindelningen innebär att rotation av en nyckel i ett lager inte kräver omkryptering av all data under det. Rotation av organisationsnyckeln kräver att DEK:erna omsluts på nytt, men inte att varje meddelande krypteras om. Rotation av en DEK innebär att ny data krypteras med den nya nyckeln, medan gammal data fortfarande går att läsa med den gamla DEK:en (som markeras som roterad men behålls).

Hur BYOK fungerar i praktiken

När en organisation aktiverar BYOK tillhandahåller den sin Masternyckel genom en säker importprocess. Mandraki accepterar en 256-bitars AES-nyckel som överförs via en säker kanal. Organisationen ansvarar för nyckelns livscykel, säkerhetskopiering och tillgänglighet. Organisationer med egna HSM:er eller egen nyckelhanteringsinfrastruktur kan generera nyckeln externt och importera den till Mandraki.

Principen är enkel: Mandraki genererar eller lagrar aldrig roten till nyckelhierarkin. Det gör kunden. Om kunden återkallar eller vägrar att tillhandahålla sin nyckel kan Mandraki inte längre dekryptera någon av organisationens data. Den krypterade datan finns kvar i databasen, men den är oanvändbar.

Det är viktigt att notera att hela nyckelhanteringen sker inom EU-suverän infrastruktur. Det finns inga beroenden av icke-europeiska nyckelhanteringstjänster – inga externa moln-KMS-leverantörer, inga API-anrop till tredjeländer. Dina krypteringsnycklar förblir under din kontroll, inom EU:s gränser.

Konsekvenserna av nyckelåterkallande

Det är här BYOK blir en verkligt kraftfull säkerhetskontroll, och det är här organisationer behöver förstå konsekvenserna tydligt.

Om du återkallar din BYOK-nyckel blir all din organisations krypterade data permanent otillgänglig. Meddelanden kan inte läsas. Bifogade filer kan inte laddas ner. Inspelningar kan inte spelas upp. Transkriptioner kan inte hämtas. Detta är avsiktligt – det är hela poängen med BYOK.

Den här funktionen är särskilt relevant för reglerade branscher. Ett finansbolag som omfattas av DORA kan visa för tillsynsmyndigheterna att det behåller förmågan att göra all samarbetsdata otillgänglig vid behov. Ett vårdföretag kan säkerställa att patientrelaterad kommunikation är kryptografiskt kontrollerad. En myndighet kan tillämpa policyer för datas livscykel genom nyckelhantering i stället för att förlita sig på en leverantörs raderingsrutiner.

BYOK och AI-funktioner

Mandrakis AI-funktioner – transkription, sammanfattning, smarta svar och inspelningsanalys – kräver åtkomst till klartext på serversidan. När en BYOK-organisation använder AI-funktioner dekrypterar bearbetningspipelinen data med hjälp av organisationens nyckelhierarki, bearbetar den genom våra AI-modeller (som körs helt inom EU-infrastruktur) och krypterar resultaten igen med organisationens DEK.

BYOK-organisationer begränsas dock automatiskt till tillfällig lagring av AI-data. Det innebär att klartext bara finns i minnet under själva bearbetningen och aldrig sparas till disk. Den AI-genererade datan (transkriptioner, sammanfattningar) krypteras med organisationens nycklar innan den lagras, vilket säkerställer att den omfattas av samma BYOK-skydd som källdatan.

Om organisationen senare återkallar sin BYOK-nyckel blir den krypterade AI-datan otillgänglig tillsammans med allt annat.

Nyckelrotation

BYOK innebär inte att nycklarna är statiska. Organisationer bör rotera sina nycklar regelbundet, och Mandraki har stöd för detta genom en enkel process.

När en organisationsnyckel roteras genereras en ny organisationsnyckel som omsluts med den aktuella Masternyckeln (eller BYOK-nyckeln). Befintliga DEK:er omsluts på nytt med den nya organisationsnyckeln. Den gamla organisationsnyckeln markeras som roterad och behålls i omsluten form för åtkomst till historisk data. Ny data använder nya DEK:er omslutna med den nya organisationsnyckeln.

Rotationsprocessen sker utan driftavbrott. Användarna märker inget avbrott, och historisk data förblir tillgänglig via den bevarade nyckelkedjan.

Vem bör använda BYOK

BYOK medför ökad operativ komplexitet. Kunden blir ansvarig för att nyckeln är tillgänglig – om nyckeln går förlorad och det inte finns någon säkerhetskopia är datan borta för alltid. Det är en egenskap, inte en brist, men det kräver väl etablerade rutiner för nyckelhantering.

Vi rekommenderar BYOK för organisationer som har dedikerade säkerhetsteam med erfarenhet av nyckelhantering, som verkar i reglerade branscher där kryptografisk kontroll är ett efterlevnadskrav, som behöver kunna spärra åtkomsten till sin data kryptografiskt, eller som redan har investerat i HSM:er eller nyckelhanteringsinfrastruktur.

För organisationer som inte behöver den här graden av kontroll erbjuder Mandrakis standardkryptering – där vi hanterar Masternyckeln – ett starkt skydd med lägre operativ börda. Båda lägena använder samma underliggande AES-256-GCM-kryptering och samma nyckelhierarki i tre lager. Den enda skillnaden är vem som kontrollerar toppen av trädet.