Sleutelbeheerdienst
Een clouddienst die versleutelingssleutels aanmaakt, opslaat en gebruikt, zodat de klant geen eigen sleutelhardware hoeft te beheren.
AWS KMS startte in 2014, met Google Cloud KMS en Azure Key Vault als tegenhangers. Sleutels verlaten de dienst in de regel nooit als leesbare tekst, en het gebruik kan worden gelogd. Het is eenvoudiger dan een eigen HSM, maar je vertrouwt wel op de interface van de aanbieder en hoopt dat de rekening voor API-aanroepen niet te snel oploopt.
De dienst zit meestal onder envelope-versleuteling, zodat applicaties alleen datasleutels te zien krijgen. Het is ook een zwak punt: als aanroepen naar KMS mislukken, mislukt de ontsleuteling van alles wat ervan afhangt. Dat is evengoed een operationeel als een beveiligingsprobleem.