DEK : Data Encryption Key
Gestion des clés
Clé qui chiffre réellement les données. Stockée chiffrée par la KEK, déwrappée à l’usage puis effacée de la mémoire.
Cycle : Générée, wrappée par la KEK, stockée chiffrée près de la donnée ; déwrappée en mémoire le temps de l’opération, puis effacée.
Granularité : Une DEK par objet, volume ou tenant limite le rayon d’une compromission et permet une rotation ciblée.
Ce qui arrive si on s'en passe
Sans clé de chiffrement des données distincte, une seule clé chiffre tout : sa compromission expose l'ensemble d'un coup, et la changer impose de rechiffrer la totalité du stock. Stocker la DEK en clair à côté des données, au lieu de l'envelopper par la KEK, la livre à quiconque lit le support ; la laisser traîner en mémoire après usage offre à quiconque lit cette mémoire de quoi tout déchiffrer. Une DEK par objet, volume ou tenant borne au contraire le rayon d'une fuite et permet une rotation ciblée. Chiffrer sans gérer ses clés, c'est fermer à double tour et semer le trousseau dans le couloir.
Explication de la marmotte
Imagine que tu as un coffre-fort où tu ranges tes objets précieux. La clé qui ouvre ce coffre, c’est ce qu’on appelle la DEK. Cette clé est très importante car elle protège vraiment tes affaires. Pour plus de sécurité, cette clé est elle-même enfermée dans une autre boîte fermée à clé. Quand tu veux ouvrir ton coffre, tu sors d’abord la clé de sa boîte, tu l’utilises, puis tu la remets tout de suite dans sa boîte et tu oublies la clé pour que personne ne puisse la voler. C’est une façon de garder tes secrets bien protégés.
Où ce terme est utilisé
- Exploiter les clés : rotation, KMS et secrets (19 occurrences)
- Chiffrement au niveau champ dans une base de données (12 occurrences)
- Comment détruire une clé pour effacer des données chiffrées (9 occurrences)
- Que protège réellement le chiffrement au repos (9 occurrences)
- Protéger les données au repos : disque, base, sauvegarde (8 occurrences)
- Effacement des données dans une architecture distribuée (7 occurrences)
- HSM cloud ou on-premise pour les clés critiques (6 occurrences)
- Pourquoi supprimer un fichier ne l'efface pas (6 occurrences)
- Sécuriser les données en mémoire dans le cloud (5 occurrences)
- Attaque MIME sniffing par fichier téléversé (4 occurrences)