邮件加密的密钥管理与托管有哪些合规要求？

SP 800-57 Part 1 的核心贡献之一，是把密钥的存在过程拆成明确的状态并规定每个状态下的允许操作：从生成前的预激活，到可用于保护新数据的激活态，再到只能用于处理已有数据的停用态，直至归档与销毁。邮件系统的关键理解是——一把密钥"退役"不等于"删除"。签名密钥停用后不再签新邮件，但对应公钥仍需可用于验证历史签名；解密密钥停用后不再用于新邮件，但必须保留以打开历史邮件。

另一个核心概念是密码周期（cryptoperiod）：一把密钥被授权使用的时间跨度。设定它需要权衡三方面——密钥暴露的窗口长度、单把密钥保护的数据总量（泄露后的影响面），以及轮换本身的运维成本。邮件场景中，不同用途的密钥其合理周期差别很大：TLS 服务器证书通常以月计，DKIM 签名密钥宜定期轮换（轮换期间需保留旧选择器的 DNS 记录以便验证在途邮件），而 S/MIME 解密密钥的保留期限必须覆盖邮件的整个保存期，这往往长达数年甚至更久。

这是邮件密钥管理中最容易出错、后果也最严重的一处设计决策：

• 签名私钥不得托管、不得备份到用户控制之外。签名的价值在于不可否认性——只有唯一持有者能产生该签名。一旦组织持有副本，用户即可合理主张"这不是我签的"，签名的法律与审计意义随之瓦解。私钥丢失的正确处置是吊销旧证书、签发新证书，而非从托管库恢复。
• 解密私钥必须可恢复。若员工离职、设备损毁或密钥损坏后无法恢复解密密钥，该员工邮箱中所有加密邮件将永久不可读。这不仅是运维事故，在有档案保存与调查取证义务的行业中直接构成合规违规。

因此邮件 PKI 的标准做法是双密钥对：签名密钥在用户端（最好在硬件令牌内）生成、永不导出；加密/解密密钥由集中系统生成并安全托管，或在用户端生成后按策略备份至密钥恢复系统。两对密钥使用两张证书，密钥用途扩展分别标注。若采用单一密钥对同时承担签名与加密，就必然要在"不可否认"和"可恢复"之间牺牲其一。

密钥恢复系统集中了组织内全部加密邮件的解密能力，它本身就是最高价值的攻击目标。SP 800-152 为联邦密码密钥管理系统给出了较完整的 profile，可作为企业设计参照，其中对邮件场景尤为关键的控制包括：

• 职责分离与多人控制：任何一次密钥恢复操作都不应由单人独立完成，应要求双人或多人授权（m-of-n）。
• 硬件保护：托管的主密钥与 CA 私钥应存放于经 FIPS 140-3 验证的密码模块（HSM）中，明确所声称的安全等级与操作环境。
• 完整审计：每一次恢复请求的申请人、审批人、目标账户、时间与理由都必须记录，日志需防篡改并独立于被审计系统留存。
• 访问授权与最小权限：恢复权限与日常运维权限分离，管理员不应默认具备读取任意用户邮件的能力。
• 销毁与归档策略：明确到期密钥的归档介质、保存年限与销毁方式，销毁需可验证。

在国内部署时，除参考 NIST 框架的方法论外，还需满足本地法规与国家标准的强制要求，主要涉及几个方向：商用密码合规（密码应用的算法选择、密码产品与服务的合规使用，以及相应的密码应用安全性评估）、等级保护（对不同等级信息系统在数据完整性、保密性与密钥管理上的控制点要求）、以及个人信息与数据出境相关规定（邮件中大量承载个人信息，加密密钥的存放位置与跨境访问权限属于合规审查范围）。

三点务实建议：其一，方法论可借鉴 NIST 的密钥状态与密码周期模型，但算法选择须以国内适用要求为准，不能直接照搬；其二，把"密钥存放在哪个司法辖区、谁能访问"作为跨境邮件架构设计的首要约束，而不是事后补充；其三，密钥管理的策略文档、审批流程与审计记录本身就是合规检查的对象，应与技术实现同步建设，而非在检查前临时补齐。