Gestion du cycle de vie des clés (Key Lifecycle Management)

Définition

La gestion du cycle de vie des clés, ou Key Lifecycle Management, désigne l'ensemble des processus encadrant l'existence d'une clé cryptographique, depuis sa génération jusqu'à sa destruction sécurisée, en passant par sa distribution, son utilisation, son archivage éventuel et sa révocation. Ce cycle comprend généralement plusieurs phases normalisées, la génération, idéalement réalisée dans un environnement à forte entropie ou un module matériel de sécurité, la distribution sécurisée vers les systèmes autorisés, l'activation pour un usage opérationnel de chiffrement ou de signature, la rotation périodique afin de limiter la fenêtre d'exposition en cas de compromission, la suspension ou révocation en cas d'incident, et enfin la destruction définitive garantissant qu'aucune copie exploitable ne subsiste. Une gestion rigoureuse du cycle de vie des clés est indispensable pour garantir l'efficacité durable du chiffrement au repos, du chiffrement en transit et de l'infrastructure à clés publiques d'une organisation, car une clé compromise ou obsolète expose l'ensemble des données qu'elle protège. Le référentiel NIST publie des recommandations détaillées sur ce sujet, en particulier le document NIST 800-57, tandis qu'ISO 27001 exige, dans ses mesures relatives à la cryptographie, une politique documentée de gestion des clés. L'absence de rotation ou l'utilisation prolongée de clés obsolètes constitue une faiblesse fréquemment identifiée lors des audits de sécurité et un vecteur potentiel d'exploitation lors d'un incident de sécurité majeur.