Clé de chiffrement de clés
Une clé dont l'unique rôle est de chiffrer d'autres clés, de sorte que seule celle-là a besoin d'être protégée dans du matériel.
Une clé de chiffrement de clés (KEK) encapsule les clés de chiffrement des données (DEK) avant qu'elles soient stockées sur disque ou envoyées sur le réseau. Le nombre de secrets à garder reste réduit : la KEK repose dans un HSM, et des milliers de DEK encapsulées peuvent dormir, chiffrées, dans une base de données, tout contre les données qu'elles ouvrent.
La rotation s'en trouve simplifiée : on change la KEK, et seules les clés encapsulées sont à réencapsuler, pas l'ensemble des données. Contrepartie : qui met la main sur la KEK obtient tout ce qui se trouve en dessous. C'est pourquoi les systèmes réels empilent plusieurs niveaux, et pourquoi la hiérarchie de clés mérite sa propre entrée.