KMIP
Ein Standardprotokoll, mit dem man einen Schlüsselserver bittet, Verschlüsselungsschlüssel zu erzeugen, herauszugeben, zu rotieren und zu widerrufen.
Das Key Management Interoperability Protocol wurde 2010 von OASIS standardisiert, nachdem jeder Storage-Hersteller seinen eigenen Weg erfunden hatte, mit seinem eigenen Schlüsselserver zu sprechen. Der Client – ein Disk-Array, eine Datenbank, ein Backup-Server – schickt binäre Nachrichten im TTLV-Format (Tag, Type, Length, Value) über gegenseitig authentifiziertes TLS, meist auf Port 5696.
Während PKCS#11 eine lokale API zu einem HSM ist, ist KMIP ein Netzwerkprotokoll zu einem Key Manager, hinter dem oft wiederum ein HSM steht. Das Versprechen: Man wechselt den Hersteller, ohne die Anbindung neu zu schreiben. In der Praxis unterstützt jeder Hersteller seine eigene Teilmenge der Spezifikation, weshalb die Interoperabilität bis heute auf jährlichen Plugfests geprüft wird.