8.1Données, applications, postesschéma 26

Cryptographie — clés, secrets et preuves

Chiffrer ne suffit pas : il faut savoir qui détient la clé, combien de temps et comment on la remplace

Faire défiler le schéma →

Cryptographie — clés, secrets et preuvesUne identité de service, certifiée par l’autorité de certification, demande ses secrets au coffre ; leurs clés sont protégées par le gestionnaire de clés (clés maîtresses, enveloppe), lui-même adossé au module matériel HSM, racine de confiance mise en avant ; le gestionnaire chiffre les données au repos et journalise chaque usage, versé à l’inventaire cryptographique ; l’identité chiffre les flux en mTLS, qu’un secret en clair, anti-pattern, expose. CONTRÔLE DES CLÉSET DES SECRETSPREUVES ET INVENTAIRE DEMANDEEXPOSE PKIAutorité de certificationcertificats courts, renouvelés mTLSIdentité de servicerôle éphémère, identité vérifiée mTLSDonnées en transitTLS ; mTLS selon le flux ANTI-PATTERNSecret en clairdans le code ou l’état Terraform SECRETSCoffre de secretsdistribution à durée limitée ROTATIONGestionnaire de clésclés maîtresses, enveloppe RACINE DE CONFIANCEModule matériel — HSMclés racines non exportables AGILITÉInventaire cryptographiquealgorithme, usage, propriétaire TRAÇABILITÉJournal des accès aux clésidentité, usage, horodatage CHIFFREMENTDonnées au reposvolumes et base chiffrés Des racines en matériel jusqu’aux données et aux flux : chaque clé a un domicile.LÉGENDEchaîne des clés et des certificatsusage et trace d’une cléanti-patternracine de confiance