密鑰管理涵蓋了密鑰的整個生命周期，涉及它的產生、使用、存儲、備份與恢復、更新、銷毀以及撤銷等。為了方便進行審計，密鑰管理各個過程都要記錄日誌。

1.密鑰的產生

為了防止對密鑰的非授權訪問，密鑰必須在安全環境中生成。客戶端分散生成和密鑰分配中心集中生成是密鑰生成的兩種方式。下表是這兩種方式的優缺點對比。

為了避免弱密鑰,防止被猜測分析出來,密鑰需要具有包括長周期性、非線性、統計意義上的等概率性以及不可預測性等的足夠的隨機性。但真正的隨機序列是無法用計算機模擬產生的,现在常採用的是物理噪聲源方法，來產生足夠隨機的偽隨機序列。

密鑰的另一個要求是要夠長。密鑰長度多少需考慮多方面的要素,包括數據價值,數據安全期,攻擊者的資源情況、計算機的性能和加密算法的开展等。

2.密鑰的存儲

密鑰的安全存儲是要確保密鑰在存儲狀態下的保密性、真實性和完整性。密鑰安全存儲的原則是不允許密鑰以明文形式出現在密鑰管理設備之外。例如,可以顺利获得將密鑰以明文形式存儲在安全的IC卡或智能卡中,由專人保管,使用時插入設備中。如果無法做到,必須用另一個密鑰加密來保護該密鑰,或由一個可信方來分發。

安全可靠的存儲介質是密鑰安全存儲的物質條件,安全的訪問控制機制是管理條件。

3.密鑰的備份和恢復

密鑰的備份本質上也是一種密鑰的存儲。為了防止密鑰遭到毀壞造成數據丟失,進一步確保密鑰和加密數據的安全,可利用備份的密鑰恢復出原來的密鑰或被加密的數據。密鑰備份有以下原則：

一般採用高級密鑰保護低級密鑰的密文形態進行備份，以減少明文形態的密鑰數量。

對於高級密鑰,一般採用多個密鑰分量的形式進行備份（不能採用密文形態備份）,即把密鑰顺利获得門限方案分割成幾部分,每個密鑰分量備份到不同的設備或地點,並且指定專人負責。

密鑰的備份應當考慮方便恢復,密鑰恢復要遵循安全的規章制度且經過授權。

4.密鑰的更新

密鑰更新是密鑰管理的基本要求,無論密鑰是否泄漏,都應該定期更新,為防止攻擊者在長時間內顺利获得截獲大量的密文來分析出密鑰，會話密鑰應當頻繁更換。密鑰加密密鑰無須頻繁更換,而主密鑰可有更長的更換時間。

5.密鑰的銷毀和撤銷

密鑰使用時間越長,它泄露的可能性就越大。如果密鑰已經泄露,又沒有被使用者察覺,那麼密鑰使用越久,損失就會越大。

因此對任何密鑰的使用，都必須像身份證、護照一樣設置有效期。當密鑰超過有效期或停止使用後,應該對該密鑰進行銷毀,以禁止攻擊者顺利获得觀察數據或從拋棄的設備中確定舊密鑰值。

從法律上，密鑰的撤銷是取消密鑰與密鑰擁有者之間的關聯,解除實體對密鑰使用過程中應承擔的義務,密鑰的撤銷的同時意味着密鑰也被銷毀。