Self-hosted KMS

Каких ключей? Чем стандартный PGP не устраивает, некоторые в LDAP хранят.

Управление ключами какого плана? Пару месяцев назад свой «KSM» написал, хранит публичные ключи и обрабатывает их.

Управление ключами какого плана?

Централизованное хранение ключей шифрования, аналог сервисов от амазона, гугла, яндекса:

• создание ключа
• безопасное хранение
• ротация
• удаление
• аудит операций

И крипто-API в общем виде:

• ciphertext = kms.encrypt(plaintext, keyId);
• plaintext = kms.decrypt(ciphertext, keyId);

Централизованное хранение ключей шифрования, аналог сервисов от амазона, гугла, яндекса:

создание ключа

безопасное хранение

ротация

удаление

Я не с вашей планеты.

На нашей приватные ключи создаются исключительно локально и их пользователями.

Приватные ключи как минимум запаролены и хранятся на шифрованой флешке, лучше с аппаратной защитой типа нитрокея.

Публичная часть ключа, с подписями, хранится на SKS серверах с полным журналом всех операций: https://sks-keyservers.net или в LDAP корпоративной базе, или даже просто git: http://git.altlinux.org/srpms/a/alt-gpgkeys.git использование git для хранения публичных ключей в разработчиков очень популярно, хотя ubuntu, gentoo имеют свои SKS сервера.

Понятия «ротации» нет. Возможна плановая замена, обязательно с кросподписями, или добавление свежего сабключа взамен истекающего.

Понятие «удаление» ключа вредно. Ключи все вечьны по определению. Есть ключи с истекшим «строком годности», приватную часть такого ключа, после кросподписи нового, лично уничтожает его пользователь, а публичная обязательно должна хранится вечно на серверах ключей, чтобы была возможность проверки аутентичности подписанных когда-то файлов.

И крипто-API в общем виде:

Все операции шифрования или подписи как минимум делаются на оборудовании пользователя локально, а лучше с аппаратной изоляцией приватного ключа как в нитрокея.

Keycloak же

Keycloak

Каким образом? ОП совсем не про идентификацию с аутентификацией.

А, пардон, имел ввиду HashiComp Vault. Перепуталось в голове.

Спасибо. За рекламным буллшитом даже нашёл ссылку на open source. И да, анонимусы делают ЛОР полезным.