鍵管理サービス
暗号鍵の生成・保管・利用を引き受けるクラウドサービス。顧客が自前で鍵用ハードウェアを運用しなくて済む。
AWS KMSは2014年に登場し、Google Cloud KMSとAzure Key Vaultが対応するサービスだ。鍵は原則として平文でサービスの外に出ず、利用はログに記録できる。自前でHSMを運用するより簡単だが、提供者のインターフェースを信頼することになり、APIコールの請求額が膨らまないことを祈る羽目にもなる。
通常は封筒暗号化の下層に置かれ、アプリケーションにはデータ鍵しか見えない。同時に弱点でもあり、KMSへの呼び出しが失敗すれば、それに依存するすべての復号が失敗する。これはセキュリティの問題であると同じくらい、運用の問題だ。