KMIP

El Key Management Interoperability Protocol lo estandarizó OASIS en 2010, cuando cada fabricante de almacenamiento ya había inventado su propia forma de hablar con su propio servidor de claves. El cliente —una cabina de discos, una base de datos, un servidor de copias— envía mensajes binarios codificados en TTLV (etiqueta, tipo, longitud, valor) sobre TLS con autenticación mutua, normalmente en el puerto 5696.

Si PKCS#11 es una API local hacia un HSM, KMIP es un protocolo de red hacia un gestor de claves que, a su vez, suele tener un HSM detrás. La promesa era cambiar de proveedor sin reescribir la integración. En la práctica cada uno implementa su propio subconjunto de la especificación, así que la interoperabilidad se sigue comprobando en plugfests anuales.