Chiffrement des Données au Repos

Technologies de chiffrement au repos

Full Disk Encryption (FDE) : chiffre l'intégralité du disque ou de la partition, transparent pour l'utilisateur une fois authentifié. Solutions : BitLocker (Windows, avec TPM pour une protection renforcée), FileVault 2 (macOS, avec T2/M-chip), LUKS/dm-crypt (Linux). Le FDE protège contre le vol physique d'un ordinateur portable, mais ne protège pas contre les accès logiques une fois le système démarré (il ne chiffre pas la mémoire vive ni les données en cours de traitement).

Transparent Database Encryption (TDE) : chiffrement au niveau du moteur de base de données — SQL Server TDE, Oracle TDE, MySQL InnoDB Tablespace Encryption, PostgreSQL pgcrypto. Les données sont chiffrées sur le disque et les backups, mais déchiffrées à la volée lorsqu'elles sont lues par le moteur. La clé de chiffrement de la base de données (DEK) est elle-même chiffrée par une Master Encryption Key stockée dans le HSM ou KMS. Le TDE protège contre le vol des fichiers de données, mais pas contre un accès SQL non autorisé (qui récupère les données déchiffrées).

Chiffrement applicatif et tokenisation

Le chiffrement au niveau applicatif (ou au niveau colonne) chiffre les valeurs spécifiques avant qu'elles ne soient stockées en base de données. L'application chiffre avant INSERT et déchiffre après SELECT. Avantages : un DBA qui accède directement à la base voit des valeurs chiffrées, pas les données en clair. Inconvénients : complexité applicative, impossibilité d'effectuer des recherches ou tris directement sur les colonnes chiffrées (sans index chiffré homomorphique — encore émergent).

La tokenisation remplace une valeur sensible (ex. : PAN — numéro de carte bancaire) par un identifiant non significatif (token) qui la représente dans les systèmes. La valeur réelle est stockée dans un coffre-fort sécurisé (token vault) et seul le mapping token↔valeur réelle est conservé là. Avantage : réduit radicalement la portée PCI-DSS en retirant les PAN du SI principal (qui ne voit que des tokens). La tokenisation (selon PCI-DSS) est une alternative viable au chiffrement pour réduire le périmètre de conformité.

Gestion des clés (Key Management)

La gestion des clés de chiffrement est critique : une clé compromise rend le chiffrement inutile. Les bonnes pratiques de KMS incluent : séparation des rôles (l'administrateur des données ne gère pas les clés cryptographiques), rotation périodique des clés (annuelle recommandée), sauvegarde sécurisée des clés (indépendante des données chiffrées — si la clé est perdue avec les données, la récupération est impossible), et utilisation d'HSM (Hardware Security Modules) physiques ou cloud (AWS CloudHSM, Azure Dedicated HSM) pour les clés critiques.

Les standards de gestion des clés incluent NIST SP 800-57 (Recommendation for Key Management), KMIP (Key Management Interoperability Protocol — protocole de communication avec les KMS), et les exigences PCI-DSS sur le key management (Requirement 3.7 — protection des clés, rotation, révocation). Les solutions cloud KMS (AWS KMS, Azure Key Vault, GCP Cloud KMS) simplifient la gestion des clés avec une haute disponibilité et intégration native avec les services cloud.