Мастер-ключ

Мастер-ключ — это долговременный криптографический ключ, основная задача которого — генерировать, защищать или оборачивать другие ключи, а не напрямую шифровать пользовательские данные. Распространённые сценарии: использование как Key Encryption Key (KEK), оборачивающего короткоживущие Data Encryption Keys (DEK) в схемах envelope-шифрования (AWS KMS, GCP KMS, Azure Key Vault); как семени для иерархической KDF (HKDF "master secret", мастер-ключи BIP32 в криптокошельках); как мастер-ключа БД в системах типа TDE. Поскольку компрометация мастер-ключа компрометирует всё, что он защищает, мастер-ключи хранятся в HSM, TPM или защищённых анклавах, применяются только для кратких операций, ротируются согласно задокументированным криптопериодам, а доступ ограничивается строгими политиками аутентификации и аудита.