Bring Your Own Key BYOK

Définition

Bring Your Own Key (BYOK) est un modèle de gestion des clés de chiffrement permettant aux organisations de générer leurs propres clés cryptographiques dans leur infrastructure (HSM on-premises ou cloud dédié) et de les importer dans un service de gestion des clés cloud (AWS KMS, Azure Key Vault, GCP Cloud KMS) pour chiffrer leurs données chez le fournisseur cloud. Contrairement aux CMKs générées dans le KMS cloud, les clés BYOK sont créées et maîtrisées par l'organisation dès l'origine. Le processus BYOK typique suit les étapes suivantes : génération du matériel clé dans un HSM on-premises certifié (FIPS 140-2 Level 3), chiffrement de la clé avec la clé publique du KMS cloud cible, import de la clé chiffrée dans le KMS cloud, et utilisation de la clé importée pour chiffrer les données. Le fournisseur cloud ne voit jamais la clé en clair : il reçoit uniquement la clé chiffrée et la déchiffre dans ses propres HSMs. L'avantage principal du BYOK est la maîtrise complète du matériel clé : si l'organisation décide de quitter un fournisseur cloud ou si une dispute légale survient, elle peut théoriquement révoquer toutes les copies de la clé chez le fournisseur. En pratique, certains fournisseurs conservent des copies de clé dans leurs systèmes de réplication jusqu'à leur expiration effective. Les limitations du BYOK doivent être comprises : une fois la clé importée dans le KMS cloud, le fournisseur a un certain niveau d'accès à la clé pour l'utiliser (même si cet accès est contrôlé et journalisé). Le vrai contrôle total nécessite soit un HSM dédié dans le datacenter du fournisseur (AWS CloudHSM, Azure Dedicated HSM, Thales Luna Network HSM GCP), soit un chiffrement côté client (CSE - Client-Side Encryption) où les données ne quittent jamais le client déchiffrées. Le modèle Hold Your Own Key (HYOK), différent du BYOK, maintient la clé entièrement dans l'infrastructure du client (chez Azure Information Protection avec HYOK, les clés ne quittent jamais le datacenter du client).