CyberGlossary

Cryptographie

Clé maître

Aussi appelé: Clé racine, Master Encryption Key (MEK)

Définition

Clé long terme de grande valeur servant à dériver d'autres clés ou à les chiffrer directement.

Une clé maître est une clé cryptographique à longue durée de vie dont le rôle principal est de générer, protéger ou envelopper d'autres clés, plutôt que de chiffrer directement des données utilisateur. Les schémas courants incluent son usage comme Key Encryption Key (KEK) qui enveloppe des Data Encryption Keys (DEK) éphémères dans l'enveloppe d'envelope encryption (AWS KMS, GCP KMS, Azure Key Vault), comme graine d'une KDF hiérarchique (« master secret » HKDF, clé maître BIP32 dans les wallets) ou comme clé maître de base de données dans des systèmes de type TDE. La compromission d'une clé maître compromet tout ce qu'elle protège ; elle est donc stockée en HSM, TPM ou enclave sécurisée, utilisée uniquement pour de courtes opérations, soumise à une rotation selon des cryptopériodes documentées et à des contrôles d'accès stricts et auditables.

Exemples

  • Une Customer Master Key (CMK) AWS KMS enveloppe les data keys utilisées par le chiffrement côté serveur de S3.
  • Un wallet hiérarchique déterministe BIP32 dérive toutes les clés de compte d'une unique graine maître.

Termes liés