Chiave di cifratura dei dati (DEK)
La chiave che cifra i dati veri e propri, mentre un'altra chiave cifra a sua volta questa.
Nell'envelope encryption i dati sono cifrati con una data encryption key (DEK), e la DEK è a sua volta cifrata con una key encryption key (KEK) custodita in un HSM o in un KMS. Ruotare la KEK significa solo ricifrare le DEK, non gigabyte di dati; e distruggere la KEK rende illeggibili i dati archiviati.
La ragione è pratica: la cifratura di massa è veloce con una chiave simmetrica, ma la gestione delle chiavi deve essere centralizzata e verificabile. Un errore frequente è usare la stessa chiave a entrambi i livelli, il che rende costosa la rotazione.