Key Rotation Cloud

Définition

La rotation des clés cryptographiques cloud est la pratique consistant à régulièrement remplacer les clés de chiffrement utilisées pour protéger des données par de nouvelles clés, afin de limiter l'exposition en cas de compromission d'une clé. La rotation des clés est un contrôle de sécurité fondamental dans les stratégies de gestion des clés cloud (AWS KMS, Azure Key Vault, GCP Cloud KMS) et est souvent une exigence de conformité (PCI-DSS, HIPAA). La rotation de clés dans les services de KMS cloud (Key Management Service) est souvent automatique et transparente : quand une clé est rotée, les nouvelles données sont chiffrées avec la nouvelle version de clé, et les données existantes peuvent être déchiffrées avec les versions précédentes (conservées pour la compatibilité rétroactive). L'application n'a pas connaissance de quel version de clé est utilisée pour chaque donnée - le KMS gère cela automatiquement. Les types de clés nécessitant une rotation incluent : les CMKs (Customer Managed Keys) dans les KMS cloud (rotation automatique configurée sur 1 an par défaut, recommandée tous les 90 jours pour les données sensibles), les Data Encryption Keys (DEKs) utilisées dans le chiffrement d'enveloppe (rotation à chaque écriture, transparente pour l'application), les clés SSH (rotation recommandée tous les 90 jours, révocation immédiate des clés des employés partis), les tokens d'API (rotation à chaque incident de sécurité et tous les 90 jours), et les certificats TLS (rotation obligatoire avant expiration, automatisée avec Let's Encrypt ou ACM). Les risques liés à l'absence de rotation incluent : une clé compromise offrant un accès permanent aux données chiffrées (la rotation limite la fenêtre d'exposition), l'accumulation de clés compromises inconnues (audit impossible sans rotation régulière), et la non-conformité aux réglementations imposant la rotation (PCI-DSS Requirement 3.7). AWS KMS supporte la rotation automatique des clés CMK tous les 365 jours. Azure Key Vault supporte la rotation automatique des clés avec notification pre-expiration et déclenchement via des Event Grid events pour automatiser la rotation des secrets. GCP Cloud KMS supporte la rotation programmée avec une rotation_period configurable.