Klucz szyfrowania danych (DEK)
Klucz, który szyfruje same dane, podczas gdy inny klucz szyfruje jego samego.
W szyfrowaniu kopertowym dane szyfruje się kluczem szyfrowania danych (DEK), a sam DEK szyfruje się kluczem szyfrowania kluczy (KEK), przechowywanym w HSM lub KMS. Rotacja KEK oznacza tylko ponowne opakowanie kluczy DEK, a nie ponowne szyfrowanie gigabajtów danych. Zniszczenie KEK sprawia zaś, że zapisane dane stają się nieczytelne.
Powód jest praktyczny: szyfrowanie masowe kluczem symetrycznym jest szybkie, ale zarządzanie kluczami powinno być scentralizowane i audytowalne. Częsty błąd to użycie jednego klucza na obu poziomach, przez co rotacja staje się kosztowna.