Klucz szyfrujący klucze
Klucz, którego jedynym zadaniem jest szyfrowanie innych kluczy, tak by tylko jego trzeba było chronić sprzętowo.
Klucz szyfrujący klucze (KEK) opakowuje klucze szyfrujące dane (DEK), zanim trafią na dysk lub zostaną wysłane przez sieć. Liczba sekretów do pilnowania pozostaje niewielka. KEK znajduje się w HSM-ie, a tysiące opakowanych DEK-ów może leżeć zaszyfrowanych w bazie, tuż obok danych, które odblokowują.
Ułatwia to też rotację. Po zmianie KEK-a trzeba ponownie opakować tylko klucze, a nie wszystkie dane. Wada jest taka, że kto zdobędzie KEK, dostaje wszystko, co leży pod nim. Dlatego prawdziwe systemy zwykle układają kilka poziomów i dlatego hierarchia kluczy zasługuje na własne hasło.