Gestion des clés de chiffrement dans le nuage

Bien que la protection des données soit un vaste sujet impliquant une variété complexe d'acteurs, de processus et de technologies, cet article se concentre sur les méthodes de cryptage des données. Une stratégie de protection des données doit prendre en compte deux types d'accès aux données : l'accès illégal et l'accès légal.

Résumé

Les entreprises suisses devraient choisir judicieusement leur stratégie de gestion des clés de chiffrement dans le nuage. Nous suggérons aux organisations de classer les données par catégories et de choisir la stratégie de gestion des clés de chiffrement dans le nuage pour une catégorie de données donnée, en fonction du degré de protection que cette catégorie mérite. Ce jugement intègre la gouvernance des données d'une organisation d'une part, et les exigences réglementaires et légales d'autre part. L'augmentation du niveau de protection des données implique également un effort accru de gestion et d'exploitation du système.

• Accès illicite : Cela se produit généralement lorsqu'un pirate informatique ou un logiciel malveillant accède à vos données en exploitant une vulnérabilité dans un système informatique.
  
  
• Accès légal : Processus par lequel une partie externe obtient l'accès à vos données par le biais d'une demande officielle, en s'appuyant sur des lois telles que la loi américaine Clarifying Lawful Overseas Use of Data Act, connue sous le nom de US CLOUD Act1. Avec l'accès légal, vos données peuvent être fournies à un gouvernement étranger ou local de manière légale, même si votre organisation peut s'y opposer pour des raisons de protection des données.
  
  Si le risque d'accès illégal peut être atténué par différentes mesures techniques, l'accès légal aux données dans le nuage est une question plus complexe, car les fournisseurs de services dans le nuage (FSC) peuvent être obligés de coopérer avec le demandeur de données.
  
  Il existe quatre méthodes différentes de cryptage des données, qui se distinguent par le degré de protection qu'elles offrent contre l'accès illicite.

Aperçu des stratégies de gestion des clés de chiffrement dans l'informatique dématérialisée

Il existe quatre approches principales de la gestion des clés de chiffrement dans l'informatique dématérialisée. Fondamentalement, il y a un compromis à faire entre garder le contrôle de vos clés et bénéficier d'un service en nuage entièrement géré. Les clients de l'informatique dématérialisée qui souhaitent conserver davantage de contrôle devront déployer davantage d'efforts pour gérer la complexité supplémentaire.

1. Clés de chiffrement gérées par le fournisseur de services en nuage (CSP Managed Keys)

Comment ?

Le CSP génère, détient et gère les clés de chiffrement. Tous les aspects du cycle de vie des clés de chiffrement sont gérés par le CSP et les services de chiffrement sont entièrement intégrés dans les services en nuage du CSP en question. Prenons un exemple : Dans un service de stockage d'objets comme AWS S3, Azure Blob Storage ou GCP Cloud Storage, vos objets de données sont cryptés lors du téléchargement et décryptés lors de la lecture-écriture, sans que vous ayez à vous en préoccuper.

Pour :

• Les utilisateurs bénéficient d'une solution de chiffrement en tant que service entièrement gérée, ce qui réduit les risques d'erreur humaine.
• Les meilleures pratiques sont mises en œuvre par des experts en sécurité mandatés par le fournisseur.
• Simplification des opérations informatiques
• Une mise sur le marché plus rapide

Cons :

• Le CSP contrôle l'ensemble du processus de gestion des clés
• L'accès aux données par le CSP est conforme à ses propres politiques et obligations légales.

2. Clés de chiffrement gérées par le client (CMEK)

Comment ?

Avec la CMEK, vous utilisez les clés de chiffrement générées et fournies par le CSP, mais vous assumez vous-même la responsabilité de la gestion des clés de chiffrement au sein de la plateforme en nuage.

Pour :

• Le CMEK permet au client de créer des clés, de contrôler l'accès aux clés et de spécifier les paramètres de gestion des clés.

• Compromis entre la flexibilité et un service de clés entièrement géré

• Trace d'audit de l'accès aux clés
  

Cons :

• Le client gère ses propres clés de chiffrement, ce qui ouvre la voie à des erreurs humaines.

• Les processus de gestion des clés de chiffrement doivent être mis en œuvre et exploités par le client.

• Techniquement, le CSP a toujours accès aux clés de chiffrement à un moment donné du processus (cependant, tous les CSP indiquent qu'ils ne conservent pas l'accès aux clés).
  

3. Clés de chiffrement fournies par le client (CSEK), parfois également appelées "apportez votre propre clé" (BYOK)

Comment ?

Avec le CSEK, le client génère les clés de cryptage et les fournit à la plateforme en nuage pour le cryptage et le décryptage des données du client. Les clés CSEK doivent être mises à la disposition de chaque service CSP au fur et à mesure qu'elles sont nécessaires. Le CSEK confère au client l'entière responsabilité de la génération, de la propriété et de la gestion des clés.

Pour :

Les clients peuvent retirer la clé à tout moment ; à partir de ce moment, le CSP n'a plus accès aux données.

Cons :

• Complexification des opérations informatiques

• Risque accru d'erreur humaine

• Techniquement, le CSP a toujours accès aux clés de chiffrement à un moment donné du processus (cependant, tous les CSP indiquent qu'ils ne conservent pas l'accès aux clés).

4. Tenez votre propre clé (HYOK)

Comment ?

Le client crypte les données sur place avant de les envoyer dans la plateforme en nuage, ce qui signifie qu'il assume non seulement la responsabilité de la génération et de la gestion des clés de cryptage, mais aussi celle du processus de cryptage lui-même. Toutes les données reçues par le CSP ont déjà été cryptées par le client.

Pour :

• HYOK offre le niveau de confiance le plus élevé quant à l'impossibilité pour le CSP d'accéder aux données du client, puisque le CSP n'a jamais accès à la clé de cryptage.

• Le CSP peut être dans l'incapacité de fournir des données à un organisme autorisé en cas de demande d'accès légal aux données.

Cons :

• Les produits et services du CSP peuvent être largement incompatibles avec ce modèle de cryptage. Les cas d'utilisation de cette méthode de gestion des clés sont donc très limités. Les produits et services du FSC tels que les bases de données gérées, les services d'analyse et la plupart des autres services nécessitant un accès aux données ne sont pas en mesure d'accéder aux données chiffrées et ne peuvent donc pas être utilisés.

• HYOK n'est pas directement pris en charge par l'un des principaux fournisseurs de services d'accès à l'Internet. Il doit être entièrement mis en œuvre par le client, qui assume l'entière responsabilité de la gestion des clés.

• Complexification importante de l'architecture et des opérations informatiques

• Risque accru d'erreur humaine

Conclusion

Un certain nombre de nos clients suisses considèrent que l'utilisation de la CMEK (c'est-à-dire l'utilisation d'un service de gestion des clés fourni par le CSP) est suffisante pour protéger leurs données contre les autorités étrangères. Par expérience, ils ont acquis la certitude que le FSC ne dispose pas d'une méthode détournée pour partager ces clés à l'insu et sans l'autorisation du client. Nos clients nous ont dit que deux facteurs en particulier renforçaient leur confiance :

• Les CSP disposent d'auditeurs tiers qui évaluent leurs environnements et fournissent des attestations pour les opérations du CSP.
• Les FSC sont motivés pour éviter les risques juridiques et de réputation associés au fait de conserver l'accès à un plus grand nombre de données clients que nécessaire.

Les clients de l'informatique en nuage qui estiment qu'une couche supplémentaire de contrôle des clés de chiffrement est souhaitable apportent ou détiennent leurs propres clés. Cependant, ces méthodes demandent un effort supplémentaire et certains services en nuage peuvent ne pas être pris en charge. Cependant, comme les entreprises passent de plus en plus d'une simple conformité à une véritable sécurité, les principaux fournisseurs de services en nuage améliorent activement leurs offres de cryptage qui reposent sur des clés gérées par le client. Chaque client doit évaluer les avantages et les risques comparables et déterminer le modèle de gestion des clés qui répond le mieux à ses besoins.