CEK : Content Encryption Key
Gestion des clés
CEK : Content Encryption Key. « Clé de chiffrement du contenu », par analogie avec la clé du coffre qu'on glisse ensuite dans une enveloppe scellée adressée au seul destinataire.
Dans JWE (JSON Web Encryption) : La CEK est la clé symétrique qui chiffre réellement la charge utile, généralement avec un mode authentifié. Elle est ensuite chiffrée ou convenue pour chaque destinataire selon l'algorithme de gestion de clé indiqué dans l'en-tête.
Chiffrement d'enveloppe : Même idée que la DEK : une clé par contenu chiffre les données, et une clé de chiffrement de clé (KEK) protège cette clé. Plusieurs destinataires peuvent ainsi recevoir le même contenu chiffré une seule fois.
Génération : Elle doit être tirée par un générateur aléatoire cryptographique, et renouvelée pour chaque message. Une CEK réutilisée avec un nonce répété transforme un mode authentifié en passoire très bien documentée.
Accord direct : En mode d'accord de clé direct, la CEK n'est pas transportée : elle est dérivée d'un échange de type Diffie-Hellman entre émetteur et destinataire.
Ce qui arrive si on s'en passe
Sans clé de contenu distincte et renouvelée pour chaque message, on chiffre les données directement avec une clé longue durée ou on réutilise la même clé sur de nombreux messages. Une clé compromise expose alors tout l'historique, la rotation impose de rechiffrer l'ensemble des données, et la réutilisation d'un nonce avec une même clé dans un mode authentifié peut révéler le contenu et permettre de forger des messages. Tirer une clé fraîche par message, puis la protéger pour chaque destinataire, limite ce qu'une fuite ponctuelle expose.
Explication de la marmotte
Pour envoyer un colis secret, on le range dans une boîte fermée par un cadenas neuf. Ensuite, on glisse la clé de ce cadenas dans une petite enveloppe que seul le destinataire sait ouvrir. Il ouvre l'enveloppe, récupère la clé, puis ouvre la boîte. Cette clé du cadenas, changée à chaque envoi, c'est celle dont on parle ici. L'intérêt : la grosse boîte n'est fermée qu'une fois, et si plusieurs personnes doivent la recevoir, il suffit de préparer une petite enveloppe par personne.
Où ce terme est utilisé
- JWE : chiffrer un jeton JSON sans se tromper (5 occurrences)