KMS (Key Management Service)

Un KMS (Key Management Service) centralise la création, le stockage, la rotation, l'audit et la destruction des clés cryptographiques. Il sépare les clés des données chiffrées (envelope encryption, modèle DEK/KEK) pour minimiser le rayon d'exposition en cas de compromission. Les KMS managés (AWS KMS, Azure Key Vault, Google Cloud KMS) sont souvent soumis au CLOUD Act. MAFATE est un KMS français basé sur un HSM logiciel (PKCS#11, migration FIPS planifiée), opéré en France et non soumis aux lois extraterritoriales US. Ce qu'un KMS fait, et pourquoi ce n'est pas un coffre à mots de passe : il génère les clés, les stocke hors de portée des applications, contrôle qui peut les utiliser, les fait tourner selon un calendrier, et journalise chaque usage. La distinction essentielle est que la clé ne sort jamais : l'application envoie la donnée à chiffrer et reçoit le résultat, au lieu de récupérer la clé pour l'utiliser elle-même. Un gestionnaire de secrets, lui, restitue la valeur qu'on lui confie, ce qui suffit pour un mot de passe de base de données mais ne suffit pas pour une clé de chiffrement dont on doit prouver qu'elle n'a jamais été exposée. Le chiffrement enveloppe est le motif que tous les KMS partagent : une clé de données à usage unique chiffre la donnée, puis cette clé est elle-même chiffrée par une clé maîtresse qui, seule, réside dans le KMS. Chiffrer un téraoctet ne demande alors qu'un appel réseau par enveloppe, et non un transfert du volume entier. Le critère de choix qui compte rarement lu dans les comparatifs : la juridiction. Un KMS opéré par une société soumise au droit américain reste atteignable par le CLOUD Act, quelle que soit la localisation physique des serveurs, ce qui devient déterminant dès qu'un client final impose une garantie de souveraineté.