Anahtar sarmalama (key wrapping), bir kriptografik anahtarı başka bir anahtarla şifreleyip, ortaya çıkan sarmalanmış bloğu güvensiz ortamlarda saklanabilir veya taşınabilir hâle getiren tekniktir. Sarmalayan anahtara genellikle KEK (Key Encryption Key), sarmalanan anahtara ise DEK (Data Encryption Key) denir. Böylece verinin kendisini şifreleyen asıl anahtar, hiçbir zaman açık metin olarak diske yazılmaz.

Anahtar sarmalama, bir anahtarı ikinci bir anahtarla şifreleyerek onu güvensiz depolama ve iletim için taşınabilir bir şifreli bloğa dönüştürme yöntemidir.

Sıradan bir şifreleme çağrısıyla temel fark, sarmalama algoritmalarının doğrudan anahtar malzemesini korumak için tasarlanmış olmasıdır. RFC 3394’te tanımlanan AES-KW gibi yöntemler, girdinin yüksek entropili bir anahtar olduğunu varsayar ve bütünlük denetimini algoritmanın içine gömer; sarmalanmış blok kurcalandığında çözme işlemi sessizce hatalı bir anahtar üretmek yerine açıkça başarısız olur. Bu, simetrik şifreleme ilkeleri üzerine kuruludur ancak amaca göre sertleştirilmiştir.

Nasıl Çalışır?

Tipik bir akışta uygulama, veriyi şifrelemek için rastgele bir DEK üretir. Bu DEK, hiçbir zaman düz hâlde saklanmaz; onun yerine merkezî bir KEK ile sarmalanır ve sarmalanmış hâli veriyle birlikte veya bir veritabanı sütununda tutulur. Veriye erişim gerektiğinde uygulama, KEK’i güvenli bir kaynaktan alarak DEK’i çözer, işini görür ve DEK’i bellekten temizler. KEK genellikle bir donanım güvenlik modülü içinde durur ve modülün dışına asla çıkmaz; sarmalama ve çözme işlemleri modülün içinde gerçekleşir.

Zarf Şifrelemesi ve Katmanlı Yapı

Bu iki katmanlı yaklaşım bulut sağlayıcılarının anahtar hizmetlerinde standart hâle gelmiş ve zarf şifrelemesi (envelope encryption) adıyla anılır. Milyonlarca kaydın her biri kendi DEK’ine sahip olabilir, ama tümü tek bir kök KEK’e bağlıdır. Bu tasarım, ölçeklenebilir bir anahtar yönetimi ve rotasyon pratiğini mümkün kılar: KEK değiştirildiğinde tüm veriyi yeniden şifrelemek gerekmez, yalnızca görece küçük olan sarmalanmış DEK’ler yeni KEK ile tekrar sarmalanır.

Sarmalama, açık anahtar dünyasında da karşımıza çıkar. Bir TLS oturumunda veya S/MIME e-postasında, oturum anahtarı alıcının açık anahtarıyla sarmalanarak gönderilir; yalnızca ilgili özel anahtara sahip taraf onu çözebilir. Bu mekanizma, açık anahtar altyapısı içinde güven zincirinin pratik karşılığıdır ve simetrik hızla asimetrik anahtar dağıtımını bir araya getirir.

Kurumsal Etki

Bir kurum için anahtar sarmalamanın değeri denetlenebilirlikte netleşir. Sarmalanmış anahtarlar yedeklerde, günlük dosyalarında veya çoğaltılmış veritabanlarında sızsa bile, KEK’e erişimi olmayan bir saldırgan için işe yaramazlar. KEK’i tek bir sertleştirilmiş noktada tutmak, koruma çabasını dağınık veriden merkezî bir sırra indirger. Mimarinizde anahtarların nerede üretildiğini, nasıl sarmalandığını ve saklandığını gözden geçirmek için bir altyapı ve mimari gözden geçirme çalışması, bu katmanların doğru kurulduğunu doğrulamanın en pratik yoludur.