Service de gestion de clés Key management service, KMS
Un service cloud qui crée, stocke et utilise les clés de chiffrement, pour que le client n'ait pas à exploiter son propre matériel de clés.
AWS KMS a été lancé en 2014, avec Google Cloud KMS et Azure Key Vault comme équivalents. En règle générale, les clés ne quittent jamais le service en clair, et leur usage peut être journalisé. C'est plus simple que d'exploiter son propre HSM, mais on s'en remet à l'interface du fournisseur, en espérant que la facture des appels d'API n'enfle pas trop vite.
Le service se place d'ordinaire sous le chiffrement par enveloppe, de sorte que les applications ne voient que des clés de données. C'est aussi un point faible : quand les appels au KMS échouent, le déchiffrement échoue pour tout ce qui en dépend. Un problème d'exploitation autant que de sécurité.