Vaults & HSM — Vue d'ensemble
Une interface uniforme sur chaque magasin de clés : logiciel, MPC, HSM et cloud KMS.
Une interface, de nombreux backends
Dans Cockpit v2, tout le matériel de clés se trouve derrière une interface de coffre unique et uniforme. Chaque backend — un coffre logiciel local, un cluster de calcul multipartite (MPC), un module de sécurité matériel, ou un cloud KMS — expose les mêmes opérations, de sorte que les applications et les services ne se soucient jamais de l'endroit où une clé réside physiquement.
Opérations uniformes
Chaque backend expose les mêmes opérations : vérifications de santé et de version, création et suppression de clés, récupération de clé publique, chiffrement / déchiffrement, signature / vérification, et découverte de clés.
Aucun export de clé par défaut
Le matériel de clé privée et symétrique reste dans le backend. L'export PEM/PKCS#8 n'est disponible que là où un backend l'autorise explicitement (coffre logiciel et KMS à politique d'export), pour une signature X.509 locale.
Identifiants par tenant
Chaque enregistrement de coffre est limité au tenant (et optionnellement à une unité organisationnelle) ; les identifiants de backend sont stockés chiffrés et déchiffrés uniquement à l'usage.
Comment un coffre est sélectionné
Un coffre est un enregistrement stocké, limité au tenant, décrivant une instance de backend. Les clés référencent leur coffre, et les applications sont liées aux coffres qu'elles peuvent utiliser.
Enregistrer un coffre
Créez un coffre d'un type donné avec son nom d'hôte/région et ses identifiants chiffrés. Il porte un état — PreActive, Active, Deactivated ou Compromised — et un matériel TLS optionnel (certificat/clé client, CA personnalisée) et un slot/PIN PKCS#11.
Le lier aux apps
Liez le coffre aux applications qui peuvent l'utiliser. Une clé créée pour une app est liée à un coffre spécifique.
Résoudre à l'exécution
À chaque appel cryptographique, la plateforme charge le coffre correspondant, déchiffre ses identifiants, et route l'opération vers le bon backend — de sorte que création / chiffrement / déchiffrement / signature / vérification atteignent toujours le bon endroit.
Si aucun coffre n'est résolu, la plateforme se replie sur le Software Vault en mémoire. C'est pratique pour le développement mais pas pour la production — voir Software & DuoKey MPC KMS.
Types de clés pris en charge
Le catalogue de types de clés est partagé entre tous les backends (chaque backend en accepte un sous-ensemble) :
| Famille | Types de clés |
|---|---|
| RSA | RSA-2048, RSA-4096 |
| ECC | EC-P256, EC-P384 |
| Symétrique / MAC | AES-128, AES-256, HMAC |
| KEM post-quantique | ML-KEM-512 / 768 / 1024 (FIPS 203) |
| Signatures post-quantiques | ML-DSA-44 / 65 / 87 (FIPS 204), SLH-DSA-128f / 128s (FIPS 205) |
Les algorithmes de signature couvrent RSA PKCS#1 v1.5 et RSA-PSS (SHA-256/384/512), ECDSA (SHA-256/384), HMAC (SHA-256/384/512) et les schémas PQC ci-dessus.
Les backends
Le logiciel et le MPC opérés par DuoKey, le HSM Securosys, et le coffre MPC Sepior (Blockdaemon) sont documentés en détail sur leurs propres pages. Les backends cloud KMS et HSM PKCS#11 fonctionnent via la même interface d'adaptateur.
| Backend | Catégorie | Notes |
|---|---|---|
| Software Vault | Logiciel DuoKey | En mémoire, cryptographie locale — développement / test uniquement |
| DuoKey Software HSM | MPC DuoKey | Parts de clé réparties sur un cluster MPC de 3 nœuds ou plus — le KMS DuoKey par défaut |
| Securosys Primus | HSM | HSM suisse via le Transaction Security Broker (TSB) ; PQC en matériel |
| Sepior (Blockdaemon) | MPC | Coffre MPC à seuil via l'API DuoKey KMS |
| Azure Key Vault | Cloud KMS | Niveau HSM géré pour AES/HMAC |
| AWS KMS | Cloud KMS | Disponible là où activé dans votre déploiement |
| Google Cloud KMS | Cloud KMS | Limité par projet / région / trousseau de clés |
| HashiCorp Vault · OpenBao | KMS logiciel | Moteur Transit |
| Fortanix DSM | Cloud HSM | Cryptographie par enclave SGX |
| Atos · Thales · Crypto4A · Utimaco | PKCS#11 | HSM réseau via un proxy REST PKCS#11 |
Securosys est le partenaire HSM principal de DuoKey. Les autres backends HSM et KMS sont pris en charge via le même adaptateur uniforme, de sorte que vous pouvez lier chaque tenant au magasin de clés dont il a besoin.
Matrice de capacités
Tous les backends n'offrent pas toutes les capacités. Les principales distinctions :
| Capacité | Où elle est disponible |
|---|---|
| Clés et signature post-quantiques (ML-KEM / ML-DSA / SLH-DSA) | Software Vault et Securosys uniquement |
| RSA / ECC / AES classiques | Tous les backends |
| HMAC | Tous sauf Azure Key Vault et Google Cloud KMS |
| Encapsulation / désencapsulation | Securosys (encapsulation/désencapsulation HSM complète) |
| Export PEM de clé privée | Coffre logiciel et KMS à politique d'export uniquement (pour signature X.509 locale) |
| AWS KMS | Disponible là où activé dans votre déploiement |
Si vous émettez des certificats post-quantiques ou hybrides (voir PKI Post-Quantique), la CA de signature doit s'appuyer sur le Software Vault ou Securosys — les seuls backends qui prennent en charge la génération de clés et la signature PQC.
Gestion des coffres
Les coffres sont enregistrés, testés en connexion, vérifiés en santé, benchmarkés, liés aux apps, et leurs clés sont découvertes et synchronisées — le tout depuis la console du Cockpit et son API de gestion.