Encryption at Rest

Le chiffrement au repos chiffre les données pendant leur stockage, de sorte que les supports divulgués restent illisibles ; il exige une gestion des clés associée.

Objectif

Protéger la confidentialité des données sur les supports de stockage (disques, sauvegardes, SSD) contre le vol physique.

Mécanisme

Les données sont chiffrées avant écriture sur le stockage et déchiffrées à la lecture, de façon transparente pour l'application (implémenté par la couche de stockage ou l'OS). La gestion des clés est cruciale : un KMS détient la clé maître et les clés de données chiffrent les données. Exemples : LUKS (disque complet Linux), FileVault (macOS), TDE (bases de données).

Cas d’usage

TDE de bases de données
Chiffrement du stockage cloud (S3 SSE)
Chiffrement de disque complet (LUKS/BitLocker)
Chiffrement des sauvegardes

Exemples

entrée
```
Disk data + KMS key
```
Output
```
Encrypted storage
```
Keys separated from data

Erreurs courantes

Storing keys alongside the data: Keep keys in KMS/HSM, separated from encrypted data

Termes associés

AES (Advanced Encryption Standard) est un chiffrement par blocs symétrique établi par NIST en 2001, prenant en charge les clés de 128/192/256 bits, standard de facto du chiffrement moderne.

La dérivation de clés est le processus de génération de clés de chiffrement à partir de mots de passe à faible entropie ou de clés maîtresses à forte entropie, à l'aide de KDF (ex. PBKDF2, scrypt, Argon2) pour renchérir la force brute.

X.509 Certificate

Un certificat X.509 associe une clé publique à une identité, signé par une autorité de certification pour vérification, et contient des champs de validité, d'émetteur, de sujet et d'extension.

References