BYOK (Bring Your Own Key)
Le client génère lui-même la clé maître et l'importe dans le service de clés du fournisseur cloud, au lieu de laisser ce dernier la créer.
La clé est produite dans le HSM du client, chiffrée avec une clé publique fournie par le service cloud, puis téléversée. Elle vit dès lors dans les HSM du fournisseur comme n'importe quelle autre clé, et sert le plus souvent de clé de chiffrement de clés dans le chiffrement par enveloppe. AWS, Azure et Google proposent chacun une variante du dispositif.
Ce que l'on y gagne, c'est la provenance et le contrôle : on sait comment la clé a été fabriquée, on en garde une copie, et on peut supprimer celle du cloud pour rendre les données illisibles. Ce que l'on n'y gagne pas, c'est le secret vis-à-vis du fournisseur, puisque la clé est tout de même utilisée sur son matériel. Pour cela, il faut le HYOK, où la clé ne quitte jamais les locaux du client — et où les pannes du client deviennent des pannes dans le cloud.