Chiffrement par enveloppe Envelope encryption
Les données sont chiffrées avec une clé de données aléatoire, elle-même chiffrée par une clé maître qui ne quitte jamais un HSM ou un service de clés.
Ce schéma permet de chiffrer rapidement de gros volumes en local, tandis que la clé sensible est manipulée dans un environnement réduit et audité. Renouveler la clé maître revient à ré-envelopper les petites clés de données, et non à rechiffrer tout le jeu de données : la rotation reste praticable même à l'échelle du téraoctet.
Le nom est une métaphore : le contenu est scellé dans une enveloppe, fermée par une clé que seules certaines parties peuvent ouvrir. En pratique, c'est une hiérarchie de clés, sur laquelle reposent la plupart des services de chiffrement du cloud.