Cryptographie appliquée — clés, secrets et agilité

Chiffrer ne suffit pas : il faut savoir qui détient la clé, combien de temps et comment on la remplace

Cryptographie appliquée — clés, secrets et agilité Chiffrer ne suffit pas : il faut savoir qui détient la clé, combien de temps et comment on la remplace Identités de charge de travail · rôle éphémère, jamais de clé durable · Architecture component · mTLS Identités de charge de travail rôle éphémère, jamais de clé durable mTLS Autorité de certification interne · certificats courts, renouvelés · Architecture component · PKI Autorité de certification interne certificats courts, renouvelés PKI Secret en clair · dans le code ou l'état Terraform · Architecture component · anti-pattern Secret en clair dans le code ou l'état Terraform anti-pattern Coffre de secrets applicatifs · distribution à durée limitée · Plan de contrôle cryptographique — racines, clés, secrets · secrets Coffre de secrets applicatifs distribution à durée limitée secrets Données en transit · TLS 1.3 et authentification mutuelle · Architecture component · mTLS Données en transit TLS 1.3 et authentification mutuelle mTLS Journal d'accès aux clés · qui a déchiffré quoi, quand · Preuves et inventaire · traçabilité Journal d'accès aux clés qui a déchiffré quoi, quand traçabilité Gestionnaire de clés · clé maîtresse, chiffrement d'enveloppe · Plan de contrôle cryptographique — racines, clés, secrets · rotation Gestionnaire de clés clé maîtresse, chiffrement d'enveloppe rotation Données au repos · volumes et base chiffrés · Architecture component · chiffrement Données au repos volumes et base chiffrés chiffrement Inventaire cryptographique · algorithme, usage, propriétaire · Preuves et inventaire · agilité Inventaire cryptographique algorithme, usage, propriétaire agilité Module matériel — HSM · clés racines non exportables · Plan de contrôle cryptographique — racines, clés, secrets · racine de confiance Module matériel — HSM clés racines non exportables racine de confiance demande enveloppe clé racine certificat mTLS chiffrement journalisé usages expose Plan de contrôle cryptographique — racines, clés, secrets Preuves et inventaire Legend Backend Database Cloud Security Message bus External

Trois règles

  • • Aucune clé en clair dans le code, l'état Terraform ou les variables du dépôt : elle se demande au coffre, à l'exécution
  • • Une clé, un usage : deux domaines ne partagent jamais la même clé
  • • Toute clé a un propriétaire, une durée de vie et une procédure de rotation écrite

Pièges

  • • Le chiffrement au repos ne protège pas d'un identifiant applicatif volé
  • • Garder la clé maîtresse sur l'hôte qui porte les données : le coffre et la racine se séparent
  • • Algorithme codé en dur : la migration devient un chantier au lieu d'un paramètre

Preuve d'audit

  • • Journal des accès aux clés : qui a déchiffré quoi, quand et depuis où
  • • Inventaire : algorithme, usage, propriétaire, échéance de rotation
  • • Rapports de rotation exécutée et de certificats expirés