Clé gérée par le client (BYOK, HYOK)
Clé gérée par le client (customer-managed key, CMK) : clé de chiffrement dont le client contrôle l'usage (politiques d'accès, rotation, désactivation), mais qui vit dans le service de gestion de clés du fournisseur. Deux variantes vont plus loin :
- BYOK (Bring Your Own Key) : le client génère lui-même la matière de la clé et l'importe dans le KMS du fournisseur. Il en garde une copie, ce qui assure la portabilité, mais le fournisseur détient aussi la matière importée.
- HYOK (Hold Your Own Key) : la clé reste dans un gestionnaire extérieur au fournisseur, appelé à chaque opération (AWS KMS External Key Store, Google Cloud EKM). Le client peut couper l'accès à tout moment, au prix d'une dépendance de disponibilité et de latence.
Aucun de ces niveaux ne protège une donnée que le service doit déchiffrer pour la traiter : pendant le traitement, elle est en clair chez le fournisseur.