Envelope-versleuteling
Gegevens worden versleuteld met een willekeurige datasleutel, die op zijn beurt wordt versleuteld met een hoofdsleutel die binnen een HSM of sleuteldienst blijft.
Dankzij dit patroon kunnen grote hoeveelheden data lokaal snel worden versleuteld, terwijl de gevoelige sleutel in een kleine, gecontroleerde omgeving wordt beheerd. Het roteren van de hoofdsleutel betekent dat alleen de kleine datasleutels opnieuw worden ingepakt, niet dat de hele dataset opnieuw wordt versleuteld. Daardoor is rotatie ook op terabyteschaal haalbaar.
De naam is een metafoor: de inhoud zit verzegeld in een envelop, en de envelop is op slot met een sleutel die alleen bepaalde partijen mogen gebruiken. In de praktijk is het een sleutelhiërarchie, en de meeste versleutelingsdiensten in de cloud zijn erop gebouwd.