fr.wedoany.com Rapport : Le fabricant suisse de modules de sécurité matériels Securosys lance un proxy de gestion de clés externes pour Microsoft Azure. Cette solution prend en charge la gestion de clés externes dans l'environnement Azure Key Vault Managed HSM, et s'adresse principalement aux entreprises des secteurs réglementés tels que la finance, la santé et le secteur public, leur permettant de conserver le contrôle de leurs clés de chiffrement tout en utilisant les services cloud.
Le principe clé de la gestion de clés externes est que « le matériel de clé ne pénètre pas dans la plateforme cloud ». Les entreprises génèrent, stockent et gèrent leurs clés dans le Securosys Primus HSM ou CloudHSM, tandis que le côté Azure Key Vault Managed HSM conserve les références de clés externes, le contrôle d'accès et les capacités d'audit. Lorsqu'un service Azure a besoin d'effectuer des opérations cryptographiques telles que l'emballage ou le déballage de clés, la demande est envoyée au Managed HSM, puis transmise via le proxy Securosys EKM à l'environnement HSM externe contrôlé par l'entreprise pour y être traitée, le résultat étant ensuite renvoyé au service Azure. Ainsi, les systèmes métier peuvent continuer à utiliser les interfaces de gestion de clés et le système de droits de l'écosystème Azure, mais le matériel de clé principal reste dans les limites du HSM appartenant ou contrôlé par le client.
Ce type de solution sert principalement les secteurs fortement réglementés. Les institutions financières, les établissements de santé et le secteur public doivent généralement satisfaire aux exigences de souveraineté des données, de souveraineté des clés, de traçabilité d'audit et d'isolement de conformité, et ne peuvent pas se contenter de confier leurs clés à la plateforme cloud.
Le proxy Securosys EKM joue le rôle de connecteur dans l'architecture. Il relie Azure Key Vault Managed HSM à l'environnement Securosys HSM, permettant aux services Azure d'invoquer des clés externes pour effectuer des opérations cryptographiques contrôlées. Le canal de communication utilise une authentification TLS mutuelle : le Managed HSM et le service proxy doivent s'authentifier mutuellement avant de traiter les demandes. L'interface proxy ne gère que les opérations cryptographiques et ne remplace pas la gestion du cycle de vie des clés dans le HSM externe. La génération, la sauvegarde, la rotation, la destruction et la restauration des clés doivent toujours être effectuées dans l'environnement Securosys HSM, ce qui signifie que les entreprises, en obtenant le contrôle des clés, doivent également assumer des responsabilités plus complètes en matière d'exploitation et de maintenance des clés.
Pour l'architecture de sécurité cloud des entreprises, la gestion de clés externes ne se résume pas à une simple « couche de chiffrement supplémentaire », mais modifie la frontière du contrôle des clés. Le modèle traditionnel de gestion de clés hébergées par le client place généralement les clés dans le service de gestion de clés de la plateforme cloud, tandis que la gestion de clés externes conserve le matériel de clé critique dans le HSM contrôlé par le client, le cloud ne détenant que les informations de référence et de contrôle des droits. Les entreprises réglementées peuvent continuer à utiliser les applications, le stockage, les bases de données et les services cloud d'Azure, tout en exécutant la clé racine de chiffrement principale dans un module de sécurité matériel indépendant, afin de répondre aux exigences de contrôle des risques internes, d'audit réglementaire et de gouvernance transfrontalière des données.
Cette solution impose également des exigences en matière de latence du système, de chemin réseau et de capacité du HSM. Lorsque les services Azure invoquent des clés externes, la demande passe par trois étapes : Managed HSM, proxy EKM et HSM externe. Les entreprises doivent s'assurer que le service proxy est accessible, que la configuration des certificats est correcte, que le cluster HSM dispose d'un débit suffisant et qu'il est possible d'enregistrer les journaux d'audit côté proxy et côté HSM. Pour les opérations de chiffrement à haute fréquence, les systèmes de transactions financières, les plateformes de données médicales et les charges de travail gouvernementales dans le cloud, le déploiement de la gestion de clés externes doit encore être validé en termes de disponibilité, de basculement, de processus de rotation des clés et de boucle d'audit.
Avec le lancement de ce proxy de gestion de clés externes pour Azure, les capacités HSM de Securosys vont davantage pénétrer l'écosystème de sécurité des clouds publics dominants. Les prochaines étapes de mise en œuvre se concentreront sur la configuration de la connexion Azure Managed HSM, le déploiement de Securosys Primus HSM ou CloudHSM, la gestion des certificats mTLS, la coordination du cycle de vie des clés, l'audit de conformité et les plans de migration pour les clients des secteurs réglementés.
