Khoá mã không thể tồn tại dưới dạng cleartext ở bên ngoài thiết bị mã hoá. Do rất nhiều thuật toán mã hoá khoá công khai công bố chi tiết cách thức thực hiện khiến cho việc bảo vệ khoá mã chịu nhiều áp lực hơn. Nếu một kẻ tấn công hiểu rõ cách thức làm việc của thuật toán mã hoá, tất cả các việc hắn phải làm là tìm được khoá mã để thâm nhập vào hệ thống [5]. Đó là lý do tại sao khoá mã quan trọng và không thể được lưu dưới dạng cleartext.
Các quy trình quản lý, duy trì, phân phát khoá mã cần phải được làm một cách tự động và tránh để cho người sử dụng biết. Các bước này cần phải được tích hợp vào phần mềm ứng dụng và hệ điều hành vì nếu để người sử dụng quản lý thì xác suất xảy ra lỗi sẽ nhiều hơn và nguy cơ rủi ro sẽ cao hơn. Khoá mã có thể bị mất, bị phá vỡ hoặc bị hỏng do đó cần phải có hệ thống sao lưu dự phòng. Hệ thống này cũng phải được bảo vệ an toàn nhưng cũng phải đảm bảo truy cập dễ dàng khi cần thiết. Nếu dữ liệu được mã hoá và sau đó vô tình người sử dụng đánh mất khoá mã thì dữ
liệu đó vĩnh viễn không bao giờ khôi phục lại được nếu không có hệ thống sao lưu dự phòng. Ứng dụng quản lý phải có chức năng khôi phục khoá mã và phải có chức năng sao lưu khoá mã để cất sang một nơi an toàn khác.
Dĩ nhiên có thêm một hệ thống sao lưu khoá mã thì càng tăng khả năng các khoá mã ấy bị đánh cắp. Do đó cần phải bảo vệ chặt chẽ hệ thống quản lý khoá mã cũng như hệ thống sao lưu dự phòng.
Nguyên tắc sử dụng và quản lý khoá mã [5]
- Chiều dài khoá mã phải đủ lớn để cung cấp độ an toàn cần thiết - Khoá mã phải được lưu trữ và truyền đi một cách an toàn
- Khoá mã phải có tính ngẫu nhiên cao và phân bố đều trong dải khoá mã - Thời gian hiệu lực của khoá mã phải tương ứng với độ nhạy cảm của thông
tin (thông tin càng nhạy cảm thì thời gian hiệu lực của khoá mã càng ngắn và ngược lại)
- Càng sử dụng nhiều khoá mã thì thời gian hiệu lực của khoá mã càng phải ngắn
- Khoá mã phải được lưu dự phòng và có khả năng khôi phục khi cần thiết - Khoá mã phải huỷ bỏ tuyệt đối khi hết thời gian hiệu lực
Chu trình cần thực hiện khi quản ký khoá mã 5]
- Tạo khoá - Phân phát khoá - Lưu trữ khoá - Sử dụng
- Khôi phục vào giao cho đối tượng thứ ba quản lý - Thay thế và huỷ bỏ khoá
Hình 3.8: Chu trình quản lý khoá mã