Vaults & HSM — Vue d'ensemble
Une interface uniforme sur chaque magasin de clés : logiciel, MPC, HSM et cloud KMS.
Une interface, de nombreux backends
Dans Cockpit v2, tout le matériel de clés se trouve derrière une interface de coffre unique et uniforme. Chaque backend — un coffre logiciel local, un cluster de calcul multipartite (MPC), un module de sécurité matériel, ou un cloud KMS — expose les mêmes opérations, de sorte que les applications et les services ne se soucient jamais de l'endroit où une clé réside physiquement.
Opérations uniformes
Chaque backend expose les mêmes opérations : vérifications de santé et de version, création et suppression de clés, récupération de clé publique, chiffrement / déchiffrement, signature / vérification, et découverte de clés.
Aucun export de clé par défaut
Le matériel de clé privée et symétrique reste dans le backend. Seule une clé créée exportable peut en sortir, et seulement depuis un backend qui l'autorise (Software Vault ; HSM Securosys en encapsulé uniquement). Voir Export de clés.
Identifiants par tenant
Chaque enregistrement de coffre est limité au tenant (et optionnellement à une unité organisationnelle) ; les identifiants de backend sont stockés chiffrés et déchiffrés uniquement à l'usage.
Comment un coffre est sélectionné
Un coffre est un enregistrement stocké, limité au tenant, décrivant une instance de backend. Les clés référencent leur coffre, et les applications sont liées aux coffres qu'elles peuvent utiliser.
Enregistrer un coffre
Créez un coffre d'un type donné avec son nom d'hôte/région et ses identifiants chiffrés. Il porte un état — PreActive, Active, Deactivated ou Compromised — et un matériel TLS optionnel (certificat/clé client, CA personnalisée) et un slot/PIN PKCS#11.
Le lier aux apps
Liez le coffre aux applications qui peuvent l'utiliser. Une clé créée pour une app est liée à un coffre spécifique.
Résoudre à l'exécution
À chaque appel cryptographique, la plateforme charge le coffre correspondant, déchiffre ses identifiants, et route l'opération vers le bon backend — de sorte que création / chiffrement / déchiffrement / signature / vérification atteignent toujours le bon endroit.
Si aucun coffre n'est résolu, la plateforme se replie sur le Software Vault en mémoire. C'est pratique pour le développement mais pas pour la production — voir Software & DuoKey MPC KMS.
Types de clés pris en charge
Le catalogue de types de clés est partagé entre tous les backends (chaque backend en accepte un sous-ensemble) :
| Famille | Types de clés |
|---|---|
| RSA | RSA-2048, RSA-4096 |
| ECC | EC-P256, EC-P384 |
| Symétrique / MAC | AES-128, AES-256, HMAC |
| KEM post-quantique | ML-KEM-512 / 768 / 1024 (FIPS 203) |
| Signatures post-quantiques | ML-DSA-44 / 65 / 87 (FIPS 204), SLH-DSA-128f / 128s (FIPS 205) |
Les algorithmes de signature couvrent RSA PKCS#1 v1.5 et RSA-PSS (SHA-256/384/512), ECDSA (SHA-256/384), HMAC (SHA-256/384/512) et les schémas PQC ci-dessus.
Les backends
Le logiciel et le MPC opérés par DuoKey, le HSM Securosys, et le coffre MPC Sepior (Blockdaemon) sont documentés en détail sur leurs propres pages. Les backends cloud KMS et HSM PKCS#11 fonctionnent via la même interface d'adaptateur.
| Backend | Catégorie | Notes |
|---|---|---|
| Software Vault | Logiciel DuoKey | En mémoire, cryptographie locale — développement / test uniquement |
| DuoKey Software HSM | MPC DuoKey | Parts de clé réparties sur un cluster MPC de 3 nœuds ou plus — le KMS DuoKey par défaut |
| Securosys Primus | HSM | HSM suisse via le Transaction Security Broker (TSB) ; PQC en matériel |
| Sepior (Blockdaemon) | MPC | Coffre MPC à seuil via l'API DuoKey KMS |
| Azure Key Vault | Cloud KMS | Niveau HSM géré pour AES/HMAC |
| AWS KMS | Cloud KMS | Disponible là où activé dans votre déploiement |
| Google Cloud KMS | Cloud KMS | Limité par projet / région / trousseau de clés |
| HashiCorp Vault · OpenBao | KMS logiciel | Moteur Transit |
| Fortanix DSM | Cloud HSM | Cryptographie par enclave SGX |
| Atos · Thales · Crypto4A · Utimaco | PKCS#11 | HSM réseau via un proxy REST PKCS#11 |
Securosys est le partenaire HSM principal de DuoKey. Les autres backends HSM et KMS sont pris en charge via le même adaptateur uniforme, de sorte que vous pouvez lier chaque tenant au magasin de clés dont il a besoin.
Matrice de capacités
Tous les backends n'offrent pas toutes les capacités. Les principales distinctions :
| Capacité | Où elle est disponible |
|---|---|
| Clés et signature post-quantiques (ML-KEM / ML-DSA / SLH-DSA) | Software Vault et Securosys uniquement |
| RSA / ECC / AES classiques | Tous les backends |
| HMAC | Tous sauf Azure Key Vault et Google Cloud KMS |
| Encapsulation / désencapsulation | Securosys (encapsulation/désencapsulation HSM complète) |
| Export de clés (PKCS#8, PKCS#12, encapsulé RSA-AES, KMIP) | Clés créées exportables : Software Vault (tous formats), Securosys (encapsulé uniquement, dans le HSM). Voir Export de clés |
| AWS KMS | Disponible là où activé dans votre déploiement |
Si vous émettez des certificats post-quantiques ou hybrides (voir PKI Post-Quantique), la CA de signature doit s'appuyer sur le Software Vault ou Securosys — les seuls backends qui prennent en charge la génération de clés et la signature PQC.
Gestion des coffres
Les coffres sont enregistrés, testés en connexion, vérifiés en santé, benchmarkés, liés aux apps, et leurs clés sont découvertes et synchronisées — le tout depuis la console du Cockpit et son API de gestion.
Surveillance de l'état des coffres
Depuis Cockpit 2.0.7, une tâche planifiée vérifie chaque coffre toutes les 5 minutes, afin qu'une panne soit visible avant qu'une requête n'échoue dessus. Elle sonde chaque coffre actif, distant et appartenant à un tenant actif ; les coffres logiciels ne sont pas sondés.
| Sortie | Quand |
|---|---|
Ligne de log event="vault_unreachable" (ERROR) | À chaque passage, pour chaque coffre injoignable. Elle indique le coffre, son type, le tenant, le nom d’hôte, depuis quand il est indisponible, le nombre d’échecs consécutifs et l’erreur. |
Ligne de log event="vault_recovered" (INFO) | Lorsque le coffre répond de nouveau. |
Entrées du journal d’activité VaultUnreachable / VaultRecovered | Uniquement lors d’un changement d’état. |
Métrique dk_vaults_unreachable | Nombre de coffres actuellement injoignables. |
Le panneau de disponibilité de la page du coffre affiche les vérifications enregistrées sur les dernières 24 heures, 7 jours ou 30 jours : disponibilité (la part de vérifications réussies), latence, échecs, périodes d'indisponibilité et dernière erreur. Probe Now lance un véritable contrôle d'état. Les vérifications sont conservées 30 jours.
La tâche appelle chaque coffre distant actif, KMS cloud compris, avec une requête en lecture seule toutes les 5 minutes. Elle peut être suspendue sous Administration → Tâches planifiées.