HYOK Hold Your Own Key

Définition

HYOK (Hold Your Own Key) est un modèle de gestion des clés de chiffrement dans le cloud où les clés de chiffrement restent exclusivement sous le contrôle du client, entièrement hors de portée du fournisseur cloud. Contrairement à BYOK (Bring Your Own Key) où les clés sont importées dans le KMS du cloud provider, HYOK maintient les clés dans un HSM ou un KMS on-premises géré par le client, le cloud provider n'ayant jamais accès aux clés. Le modèle HYOK répond aux scénarios de sécurité les plus stricts où la confiance dans le cloud provider doit être minimisée. Avec BYOK, même si les clés sont fournies par le client, elles transitent par l'infrastructure du cloud provider et des copies temporaires peuvent exister dans la mémoire du KMS managé. Avec HYOK, le cloud provider ne voit jamais les clés en clair : le déchiffrement des données se fait toujours sur les systèmes du client. Microsoft Azure supporte HYOK via Azure Information Protection (AIP) HYOK : les données Office et email peuvent être chiffrées avec des clés Active Directory Rights Management Services (AD RMS) gérées on-premises. Le déchiffrement ne peut s'effectuer que sur un AD RMS du client, inaccessible à Microsoft. Cependant, les fonctionnalités cloud (recherche plein texte, indexation) ne sont pas disponibles sur les données HYOK car le cloud ne peut pas déchiffrer leur contenu. Dans les environnements cloud hybrides, HYOK s'implémente via des solutions comme Thales CipherTrust Cloud Key Manager, Baffle Data Protection Services, et IronCore Labs qui positionnent un proxy de chiffrement entre les applications cloud et le stockage : les données sont chiffrées côté client avant d'être envoyées vers le cloud, avec des clés que seul le client possède. Le cloud stocke uniquement des données chiffrées inutilisables sans les clés du client. Les limites de HYOK incluent : la complexité opérationnelle (gestion de HSM on-premises avec haute disponibilité et rotation des clés), les limitations fonctionnelles (services cloud ne pouvant pas traiter les données chiffrées sans les déchiffrer), et la latence ajoutée (chaque opération de chiffrement/déchiffrement passe par le KMS on-premises).