Envelope Encryption

Définition

Le chiffrement d'enveloppe (Envelope Encryption) est une technique cryptographique utilisée par tous les principaux services de chiffrement cloud (AWS KMS, Azure Key Vault, GCP Cloud KMS) pour chiffrer efficacement de larges volumes de données avec des clés maîtresses protégées dans des HSMs. Il repose sur l'utilisation de deux niveaux de clés hiérarchiques. Le principe de base est simple : une Data Key (clé de données, symétrique AES-256) est générée pour chiffrer les données réelles, puis cette Data Key est elle-même chiffrée par une Master Key (ou Key Encryption Key - KEK) stockée dans le KMS. Les données chiffrées et la Data Key chiffrée sont stockées ensemble. Pour déchiffrer, on appelle le KMS pour déchiffrer la Data Key, puis on utilise la Data Key en mémoire pour déchiffrer les données. Ce schéma offre plusieurs avantages. Premièrement, les performances : le KMS (basé sur des HSMs) n'est appelé qu'une fois par bloc logique de données (ou une fois par session pour les communications), pas pour chaque octet chiffré. Les opérations de chiffrement des données massives (S3 objects, EBS volumes) sont effectuées localement avec la Data Key, beaucoup plus rapidement que via les APIs KMS. Deuxièmement, la rotation des clés : pour changer de Master Key, il suffit de déchiffrer et rechiffrer les Data Keys avec la nouvelle Master Key, sans modifier les données elles-mêmes. Troisièmement, le caching : les Data Keys peuvent être mises en cache localement (AWS Encryption SDK data key caching) pendant une durée configurable pour réduire les appels KMS répétés. L'AWS Encryption SDK, le Azure Encryption Client, et le Google Tink implementent le chiffrement d'enveloppe de manière standardisée pour les applications, gérant automatiquement la génération des Data Keys, les appels KMS, et le format des données chiffrées (envelope format incluant les métadonnées, la Data Key chiffrée, et les données chiffrées).