Wrapping : Encapsulation de clé
Gestion des clés
Chiffrer une clé par une autre (la KEK) pour la stocker ou la transporter sans jamais l’exposer en clair.
Principe : Chiffrement d’une clé par la KEK, souvent en AES-KW ou AES-GCM, pour un stockage ou un transport sûr.
Unwrapping : Opération inverse réalisée dans le module cryptographique matériel : la clé en clair n’apparaît jamais côté application.
Ce qui arrive si on s'en passe
Sans enveloppement par une KEK, une clé à stocker ou à transporter voyage en clair, dans un fichier, une base, une sauvegarde ou un message, et quiconque lit ce support la récupère entière. Réaliser le déballage dans l'application plutôt que dans le module cryptographique matériel expose de même la clé en mémoire, où un vidage ou une faille la rendent lisible. Un mode d'enveloppement sans contrôle d'intégrité laisse enfin substituer une clé chiffrée par une autre sans que personne ne s'en aperçoive. Chiffrer les données et laisser leurs clés en clair à côté, c'est blinder la porte et poser la clé sur le paillasson.
Explication de la marmotte
Imagine que tu as une clé très précieuse, mais que tu ne veux pas que quelqu’un la voie ou la vole quand tu la transportes. Pour la protéger, tu la mets dans une boîte spéciale qui ne s’ouvre qu’avec une autre clé secrète. Même si quelqu’un trouve la boîte, il ne pourra pas voir ta clé à l’intérieur. C’est un peu comme cacher un trésor dans un coffre-fort fermé à clé, pour être sûr qu’il reste en sécurité pendant le voyage. C’est ça, le « wrapping » : protéger une clé en la mettant sous une autre clé, pour qu’elle ne soit jamais visible en clair.
Où ce terme est utilisé
- Sauvegarde et restauration sécurisée des clés HSM (8 occurrences)
- Vulnérabilités documentées des HSM certifiés (6 occurrences)
- GRE, IPsec ou GRE dans IPsec pour un tunnel site à site (5 occurrences)
- Couches, normes et vocabulaire de paquets (4 occurrences)
- Le post-quantique hybride (4 occurrences)
- Préparer la migration post-quantique (4 occurrences)
- Dimensionner un HSM pour la migration post-quantique (3 occurrences)
- VPN, tunnels, bastions et interconnexions protégées (3 occurrences)
- Établir une clé : Diffie-Hellman, KEM et HPKE (2 occurrences)
- Les problèmes difficiles qui rendent la clé publique possible (2 occurrences)