Customer-Managed Keys CMK

Définition

Les Customer-Managed Keys (CMK), également appelées Customer-Managed Encryption Keys (CMEK), sont des clés de chiffrement cryptographiques créées, gérées, et contrôlées par l'organisation cliente plutôt que par le fournisseur cloud. Cette approche offre un contrôle total sur le cycle de vie des clés (création, rotation, révocation) et la capacité de révoquer l'accès à toutes les données chiffrées avec ces clés, y compris pour le fournisseur cloud. Dans AWS, les CMKs sont créées et stockées dans AWS KMS (Key Management Service). La clé n'est jamais exportée des HSMs KMS en clair : les opérations cryptographiques sont effectuées dans KMS, et l'organisation contrôle qui peut utiliser la clé via les Key Policies. Dans Azure, les CMKs sont stockées dans Azure Key Vault ou Azure Managed HSM. Dans GCP, les CMKs sont dans Cloud KMS ou Cloud HSM. L'utilisation de CMKs offre plusieurs avantages de sécurité par rapport aux clés gérées par le provider. Premièrement, la révocation : désactiver ou supprimer une CMK rend instantanément toutes les données chiffrées avec cette clé inaccessibles, y compris par le fournisseur cloud. Cela est critique pour les scénarios de résiliation de contrat ou de litige. Deuxièmement, l'audit : toutes les utilisations de la CMK (chiffrements, déchiffrements) sont journalisées dans CloudTrail/Azure Monitor, fournissant une piste d'audit complète des accès aux données. Troisièmement, la séparation des rôles : des personnes différentes peuvent gérer les clés (Key Administrators) et utiliser les clés (Key Users), permettant une séparation des duties. Les exigences de conformité (PCI-DSS, HIPAA, RGPD, HDS) spécifient souvent que les données sensibles doivent être chiffrées avec des clés gérées par le client (CMK) plutôt que par le fournisseur. Cela garantit que seule l'organisation cliente peut déchiffrer ses données sensibles. Le coût des CMKs AWS est $1/mois par clé active plus $0.03 par 10,000 opérations API. Pour des volumes élevés de petites opérations (ex: DynamoDB avec CMEK), le coût KMS peut être significatif et doit être budgété.