BYOK (Bring Your Own Key)
De klant genereert de hoofdsleutel zelf en importeert die in de sleutelservice van de cloudaanbieder, in plaats van de aanbieder hem te laten maken.
De sleutel wordt gegenereerd in de eigen HSM van de klant, ingepakt met een publieke sleutel van de clouddienst en geüpload. Vanaf dat moment leeft hij binnen de HSM's van de aanbieder zoals elke andere sleutel, meestal als key-encryption key bij envelope-versleuteling. AWS, Azure en Google bieden allemaal een variant van deze opzet.
Wat je wint is herkomst en controle: je weet hoe de sleutel is gemaakt, je houdt een kopie en je kunt de kopie van de cloud verwijderen om de data onleesbaar te maken. Wat je niet wint is geheimhouding tegenover de aanbieder, want de sleutel wordt nog steeds in diens hardware gebruikt. Daarvoor is HYOK nodig, waarbij de sleutel de eigen locatie van de klant nooit verlaat — en waarbij storingen bij de klant storingen in de cloud worden.