Cloud HSM

Définition

Un Cloud HSM (Hardware Security Module) est un dispositif matériel cryptographique dédié, hébergé dans l'infrastructure d'un fournisseur cloud, permettant de stocker des clés cryptographiques dans un environnement physiquement sécurisé et certifié FIPS 140-2 Level 3 ou Level 4. Contrairement aux KMS cloud standards (AWS KMS, Azure Key Vault) qui utilisent des HSMs partagés entre clients, les Cloud HSMs sont dédiés à un seul client. Les principaux services Cloud HSM incluent : AWS CloudHSM (instances HSM dédiées dans votre VPC, modèle Luna Network HSM), Azure Dedicated HSM (HSM Thales Luna Network HSM 7 dédiés), Azure Managed HSM (service managé multi-tenant mais avec isolation cryptographique par tenant), GCP Cloud HSM (HSM backing pour Cloud KMS avec clés protégées Level 3). L'avantage principal des Cloud HSMs par rapport aux KMS standards est la certification FIPS 140-2 Level 3 (vs Level 2 pour AWS KMS standard). Le Level 3 exige une résistance physique à la falsification (tamper-resistant et tamper-evident) et une authentification physique avant d'activer le HSM. Cette certification est requise par certaines réglementations sectorielles (ex: exigences NSA Suite B pour les données classifiées, certains secteurs financiers avec des exigences PCI-HSM). AWS CloudHSM fonctionne en cluster pour la haute disponibilité : les clés sont synchronisées entre plusieurs modules HSM dans différentes zones de disponibilité. La gestion du HSM (création des utilisateurs crypto, gestion des clés) est entièrement sous la responsabilité du client via le cloudhsm_mgmt_util. AWS n'a pas accès aux clés stockées dans CloudHSM — contrairement à KMS où AWS pourrait théoriquement accéder aux clés en tant qu'administrateur. Les cas d'usage typiques des Cloud HSMs incluent : l'ancrage de PKI (CA root keys), la protection des clés de signature de code, les applications PCI-DSS nécessitant un HSM dédié, et les migrations depuis des HSMs on-premises vers le cloud sans changer d'architecture de gestion des clés.