Nyckelkrypteringsnyckel
En nyckel vars enda uppgift är att kryptera andra nycklar, så att bara den behöver skyddas i hårdvara.
En nyckelkrypteringsnyckel (KEK) används för att packa in datakrypteringsnycklar, DEK, innan de lagras på disk eller skickas över nätet. Mängden hemligheter som måste vaktas blir då liten. KEK:en ligger i en HSM, och tusentals DEK:er kan ligga krypterade i en databas bredvid själva datan.
Fördelen gäller även rotation. Byter man KEK behöver bara de inpackade nycklarna packas om, inte all data. Nackdelen är att den som får fatt i KEK får allt som hör till den. Därför ser man ofta flera nivåer, och det är skälet till att nyckelhierarki behandlas som ett eget begrepp.