KEK : Key Encryption Key
Gestion des clés
Clé maîtresse qui chiffre (wrap) d’autres clés, jamais les données. Elle ne quitte jamais le module cryptographique matériel.
Rôle : Chiffre les DEK pour les stocker à côté des données ; sa compromission expose toute la hiérarchie qu’elle protège.
Rotation : Changer la KEK n’oblige qu’à re-wrapper les DEK, pas à re-chiffrer les données : tout l’intérêt de la hiérarchie de clés.
Ce qui arrive si on s'en passe
Sans clé de chiffrement de clés, chaque clé de données doit être protégée séparément, ou stockée en clair à côté des données qu'elle chiffre : qui vole le disque emporte à la fois le coffre et sa clé. Changer une clé compromise impose alors de rechiffrer toutes les données, opération si lourde qu'on la reporte indéfiniment. Une KEK qui sortirait du module cryptographique matériel perdrait tout son intérêt, puisque sa compromission expose toute la hiérarchie qu'elle protège. Ranger les clés avec les données qu'elles ouvrent procède d'une logique irréprochable, celle du propriétaire qui glisse le double sous le paillasson.
Explication de la marmotte
Imagine une boîte très spéciale qui garde des clés importantes pour ouvrir d’autres petites boîtes. Cette grande clé, qu’on appelle KEK, sert à protéger ces petites clés en les enfermant bien à l’intérieur, mais elle ne sert jamais à ouvrir directement les petites boîtes elles-mêmes. En plus, cette grande clé reste toujours dans la boîte spéciale, elle ne sort jamais, pour éviter qu’on puisse la voler. C’est un peu comme un coffre-fort où on garde la clé du coffre-fort, mais cette clé ne quitte jamais le coffre.
Où ce terme est utilisé
- Sauvegarde et restauration sécurisée des clés HSM (18 occurrences)
- Comment détruire une clé pour effacer des données chiffrées (9 occurrences)
- Exploiter les clés : rotation, KMS et secrets (8 occurrences)
- Comment isoler les clés dans un HSM multi-tenant (6 occurrences)
- Protéger les données au repos : disque, base, sauvegarde (6 occurrences)
- HSM cloud ou on-premise pour les clés critiques (5 occurrences)
- Que protège réellement le chiffrement au repos (5 occurrences)
- Résidence des données et souveraineté cloud (5 occurrences)
- KEK vs DEK (4 occurrences)
- RNG matériel ou PRNG dans un HSM (4 occurrences)