Encryption at Rest

Verschlüsselung at rest verschlüsselt Daten während der Speicherung, sodass geleakte Medien unlesbar bleiben; sie erfordert begleitendes Schlüsselmanagement.

Zweck

Die Vertraulichkeit der Daten auf Speichermedien (Festplatten, Backups, SSDs) gegen physischen Diebstahl schützen.

Mechanismus

Daten werden vor dem Schreiben ins Storage verschlüsselt und beim Lesen entschlüsselt, für die Anwendung transparent (umgesetzt von der Storage-Schicht oder dem OS). Schlüsselmanagement ist entscheidend: Ein KMS verwahrt den Hauptschlüssel, Datenschlüssel verschlüsseln die Daten. Beispiele: LUKS (Linux-Vollplattenverschlüsselung), FileVault (macOS), TDE (Datenbanken).

Anwendungsfälle

Datenbank-TDE
Cloud-Speicher-Verschlüsselung (S3 SSE)
Vollplattenverschlüsselung (LUKS/BitLocker)
Backup-Verschlüsselung

Beispiele

Eingabe
```
Disk data + KMS key
```
Output
```
Encrypted storage
```
Keys separated from data

Häufige Fehler

Storing keys alongside the data: Keep keys in KMS/HSM, separated from encrypted data