Key-Management-Service
Ein Cloud-Dienst, der Verschlüsselungsschlüssel erzeugt, speichert und verwendet, sodass Kunden keine eigene Schlüsselhardware betreiben müssen.
AWS KMS startete 2014, mit Google Cloud KMS und Azure Key Vault als Gegenstücken. Schlüssel verlassen den Dienst in der Regel nie im Klartext, und ihre Nutzung lässt sich protokollieren. Das ist einfacher als ein eigenes HSM, doch man vertraut der Schnittstelle des Anbieters und hofft, dass die Rechnung für API-Aufrufe nicht allzu schnell wächst.
Der Dienst sitzt meist unter Envelope Encryption, sodass Anwendungen nur Datenschlüssel sehen. Er ist zugleich eine Schwachstelle: Schlagen Aufrufe an KMS fehl, scheitert die Entschlüsselung für alles, was davon abhängt. Das ist ein Betriebsproblem ebenso wie ein Sicherheitsproblem.