對于密鑰加密密鑰應具備哪些要求

對于密鑰加密密鑰應具備如下要求：

• KEK加密存儲在KMS系統中，不隨密文數據一起存儲，通常也不應存儲在應用自身。

• 針對用戶KEK，可建立專用的用戶KMS，或存入用戶信息表并將用戶信息表作為一個應用（這個應用的KEK在KMS中加密存儲）。

• 在安全性要求更高的情況下，可使用多級KMS來加強密鑰保護。

• 每個應用或每個用戶應該使用不同的密鑰加密密鑰。

• 密鑰加密密鑰加密存儲在密鑰管理系統系統中，不隨密文數據一起存儲，通常也不應存儲在應用自身。

• 針對用戶密鑰加密密鑰，可建立專用的用戶密鑰管理系統，或存入用戶信息表并將用戶信息表作為一個應用（這個應用的密鑰加密密鑰在密鑰管理系統中加密存儲）。

• 在安全性要求更高的情況下，可使用多級密鑰管理系統來加強密鑰保護。

• 在沒有密鑰管理系統的時候，在應用系統代碼中固定密鑰加密密鑰（不推薦）。

• 不會重復出現，已經產生的密鑰不會再次出現。不能重復使用，每個密鑰只能使用一次便立即失效。

• 在沒有KMS的時候，在應用系統代碼中固定KEK。

• 每個應用或每個用戶應該使用不同的KEK。