Categories
Le KMS doit rester séparé des données de production
Lorsque les entreprises commencent à adopter le protocole Key Management Interoperability Protocol (KMIP), le KMS doit rester distinct du dispositif qui stocke les données de production, plutôt que de confier les deux rôles à un appareil de stockage polyvalent. C’est un principe fondamental de la séparation des tâches (SoD) : le KMS et l’administrateur des données de production doivent être deux rôles distincts.
Le système de gestion des clés (KMS) constitue la racine de confiance de tout l’environnement, nécessitant un environnement avec une empreinte minimale et un durcissement maximal. À l’inverse, un NAS est conçu comme un système de stockage à grande capacité et multi-services qui fonctionne en tant que client KMIP, ce qui rend les deux fondamentalement opposés par nature.
Philosophie de conception de QNAP : la décision de QNAP de ne pas prendre en charge le NAS QNAP comme KMS est un choix architectural intentionnel visant à respecter le principe de séparation des tâches, en confiant l’autorité de gestion des clés à un KMS dédié et auditable, tandis que le NAS se contente de demander les clés cryptographiques lorsque nécessaire, garantissant ainsi que l’architecture de chiffrement de l’organisation reste conforme et efficace.
Utiliser un NAS comme KMS : un piège de conformité souvent négligé
En pratique, il est courant de voir des équipes avoir besoin d’un KMS pour gérer de façon centralisée les clés de chiffrement des dossiers partagés et des volumes afin de répondre aux exigences des audits de sécurité. Cependant, les solutions KMS commerciales pouvant être coûteuses, elles utilisent des dispositifs de stockage pour réduire les coûts.
Cependant, il s’agit d’un faux gain : les organisations pensent avoir économisé le coût d’un KMS, mais elles s’appuient sur une architecture inadaptée pour assumer le rôle le plus critique. L’argent économisé ne se traduit pas nécessairement par une sécurité réelle, et cela s’éloigne également de la philosophie de conception fondamentale d’un KMS.
Certaines solutions de stockage sur le marché proposent un rôle KMS intégré, mais d’un point de vue audit, une conception où les données et les clés résident sur le même système manque de séparation claire des responsabilités. Une interface de gestion unique contrôlant à la fois les données et les clés constitue en elle-même un point de défaillance unique que les auditeurs n’accepteront probablement pas, quelle que soit la robustesse de la technologie de chiffrement.
Racine de confiance : pourquoi les exigences de sécurité du KMS sont bien plus élevées que celles des systèmes classiques
La clé pour comprendre cela est le concept de racine de confiance unique.
Lorsqu’une organisation atteint le stade où KMIP devient nécessaire, cela signifie que les clés de chiffrement doivent être gérées de manière centralisée dans tout l’environnement, et non plus utilisées uniquement par les systèmes NAS. Les scénarios classiques en entreprise sur site incluent :
- Plateformes de virtualisation : chiffrement des machines virtuelles et des datastores VMware vSphere/vSAN, Hyper-V et Nutanix
- Chiffrement transparent des données des bases de données (TDE) : Oracle et SQL Server
- Systèmes de sauvegarde : clés de chiffrement pour les logiciels de sauvegarde de niveau entreprise tels que Veeam et Commvault
- Serveurs de stockage partagé (NAS)
- Baies de stockage à auto-chiffrement
- Matériel à auto-chiffrement : disques à auto-chiffrement (SED), bibliothèques de bandes et baies de stockage à auto-chiffrement
Une fois que le KMS devient le Single Root of Trust pour tous les appareils ci-dessus, ses exigences de sécurité sont bien plus élevées que celles de n’importe quel appareil qu’il gère. En particulier, les solutions KMS de niveau entreprise doivent généralement fournir : un magasin de clés pris en charge par un module de sécurité matériel (HSM), une séparation stricte des tâches, un cycle de vie des clés complet et auditable, et une validation indépendante du module cryptographique.
Par conséquent, le KMS joue un rôle à un niveau de sécurité supérieur à celui des systèmes qu’il gère.
La matière clé elle-même est extrêmement petite — les clés, les métadonnées et les politiques réunies ne représentent généralement que quelques mégaoctets pour la plupart des entreprises. Un KMS idéal suit le principe de minimisation : il supprime toutes les fonctions sans rapport avec la gestion des clés, ne conserve qu’une seule responsabilité, garde la frontière de confiance aussi réduite que possible et facilite l’audit indépendant.
À l’inverse, la valeur de NAS repose sur ses capacités multifonctionnelles, notamment une grande capacité, des services de fichiers, un écosystème applicatif riche et la prise en charge de protocoles de communication variés. Ce sont les atouts de NAS en tant que plateforme de données, mais ils répondent à un objectif de conception différent de l’approche « minimaliste et à usage unique » exigée par le KMS.
QNAP QuTS hero : bien définir le rôle « KMIP Client »
Dans l’architecture de QNAP, le rôle du NAS est celui d’un client KMIP performant, confiant la garde des clés à un KMS dédié tout en se concentrant sur ses fonctions principales de stockage. Le client KMIP de QuTS hero offre les caractéristiques de conception suivantes :
- Garde des clés à distance : Les clés de chiffrement sont stockées sur un serveur KMIP distant, ce qui réduit le risque d’accès non autorisé ou de perte de clé au niveau du NAS.
- Échange de clés conforme à FIPS 140-3 : Le processus d’échange de clés est conçu selon les exigences de sécurité FIPS 140-3 et les standards de conformité de niveau entreprise.
- Canal chiffré TLS mutuel : Le NAS et le serveur KMIP communiquent via TLS mutuel (mTLS). Le port 5696 est utilisé par défaut, et les deux parties doivent avoir des certificats valides et non expirés installés.
- Application automatique des clés et déverrouillage au démarrage : Les dossiers partagés chiffrés et les LUN chiffrés peuvent récupérer automatiquement les clés. Tant que le client et le serveur restent connectés, l’accès demeure disponible après le redémarrage du système.
- Gestion complète du cycle de vie des certificats : Prend en charge la génération, l’importation, le remplacement, le téléchargement et la suppression des certificats, tout en permettant aux utilisateurs de consulter le statut et les dates d’expiration.
Concernant les versions prises en charge, le client KMIP est disponible depuis QuTS hero h6.0. Pour l’installer et le configurer, installez « KMIP Client » depuis App Center, puis allez dans Panneau de configuration > Système > Sécurité > Paramètres KMIP.
C’est précisément l’avantage de cette répartition des responsabilités : la validation du module cryptographique CMVP, qui représente le niveau de sécurité le plus élevé, est assurée par un KMS professionnel, sans exiger que chaque appareil de stockage assume cette responsabilité. Le NAS doit simplement respecter les exigences de conception FIPS 140-3 pour l’échange de clés et déléguer la racine de confiance à l’autorité appropriée.
Comment choisir un KMS compatible KMIP
Une fois le modèle « NAS en tant que client » mis en place, l’étape suivante consiste à sélectionner une autorité de gestion des clés adaptée. L’approche recommandée est de choisir entre deux options selon les exigences d’audit et le budget :
| Scénario | Approche recommandée | Solutions représentatives |
| Exigences strictes en matière d’audit | Utiliser des solutions KMS commerciales certifiées existantes | Thales CipherTrust Manager, Entrust KeyControl, IBM Guardium Key Lifecycle Manager, HashiCorp Vault Enterprise (KMIP secrets engine) |
| Le budget est le critère principal | Déployer un serveur KMIP auto-hébergé sur un hôte dédié, contrôlé et auditable à l’aide de conteneurs | HashiCorp Vault / OpenBao (moteur KMIP), Cosmian KMS ; PyKMIP est réservé aux tests uniquement |
La question n’est pas de savoir quel hôte exécute le KMS, mais si l’hôte est sécurisé, le contrôle d’accès est appliqué et des journaux d’audit peuvent être générés pour vérification. Tant que l’autorité de gestion des clés reste indépendante du stockage de production et répond aux exigences de gouvernance décrites ci-dessus, les solutions commerciales comme auto-hébergées peuvent offrir une base solide pour votre architecture de chiffrement.
Comprendre KMIP et FIPS : un aperçu complet
Lors de la validation d’audit du chiffrement, trois termes sont souvent confondus, mais les auditeurs les examinent à des niveaux totalement différents :
| Concept | Ce que cela valide | Explication |
| Interopérabilité | Si un KMS peut se connecter via KMIP et fonctionner correctement | “La connexion au protocole fonctionne avec succès” |
| Validation des algorithmes (NIST CAVP) | Si les implémentations des algorithmes par les fournisseurs, tels que AES/SHA/RSA, sont correctes | « Les opérations mathématiques sont correctes » |
| Validation du module cryptographique (NIST CMVP, FIPS 140-2/140-3) | Si l’ensemble du module cryptographique, y compris la gestion des clés et la frontière du module cryptographique, a passé la validation et obtenu un certificat valide | « L’ensemble du coffre-fort a été validé selon les exigences de sécurité » |
Pour les auditeurs, l’exigence la plus importante et généralement la plus stricte est la validation du module cryptographique. Une implémentation d’algorithme validée CAVP, ou un module en cours de test, ne signifie pas qu’il dispose d’un certificat CMVP valide couvrant les composants de gestion des clés sur lesquels vous comptez. Ainsi, quel que soit le KMS choisi, il est recommandé de vérifier directement le statut de validation via la liste de validation NIST CMVP et de confirmer la portée du certificat avec vos auditeurs.
KMIP est en soi un protocole standard ouvert qui permet aux clients et serveurs KMIP de différents fournisseurs de communiquer entre eux. Cependant, « être interopérable » n’est qu’un point de départ ; la véritable difficulté pour les entreprises est de réussir la validation de conformité.
Conclusion : séparer la serrure et la clé
Au moment où vous mettez en œuvre KMIP, l’objectif n’est pas de transformer votre NAS en KMS, mais d’établir une autorité de gestion des clés indépendante, fiable et auditable pour tout l’environnement.
En tant que client KMIP, le NAS QNAP NAS confie la gestion des clés à un KMS professionnel pour une gouvernance centralisée, tout en se concentrant sur le stockage et les services liés aux données. Cela ne signifie pas qu’une fonctionnalité manque ; c’est au contraire une décision volontaire visant à placer la racine de confiance là où elle doit être. Séparer la serrure et la clé rend la sécurité efficace et permet de réussir les audits.
Pour en savoir plus sur le processus de configuration du client KMIP QuTS hero, consultez le tutoriel officiel de QNAP :
https://www.qnap.com/go/how-to/tutorial/article/how-to-use-kmip-client-for-secure-key-management
Foire aux questions (FAQ)
Q : Un NAS peut-il être utilisé comme serveur KMIP ?
R : Le NAS QNAP est volontairement conçu pour ne prendre en charge que le rôle de client KMIP, et non celui de serveur. Un KMS sert de racine de confiance et suit le principe de minimisation (responsabilité unique et périmètre de confiance le plus restreint possible), tandis qu’un NAS est une plateforme de données polyvalente à grande capacité. Les deux ont des objectifs de conception différents. Même l’achat d’un autre NAS dédié à servir de KMS reviendrait à utiliser une plateforme polyvalente pour une tâche nécessitant un système dédié, tout en laissant la majeure partie de sa capacité inutilisée. La bonne approche consiste à utiliser le NAS comme client et à confier la gestion et la protection des clés à un KMS dédié, auditable et indépendant.
Q : Quelle version logicielle QNAP prend en charge pour la première fois le client KMIP ?
R : Le client KMIP est pris en charge depuis QuTS hero h6.0. Installez KMIP Client depuis App Center et activez-le dans les paramètres de sécurité de Panneau de configuration.
Q : Avec un budget limité, est-il nécessaire d’acheter un KMS commercial coûteux ?
R : Pas forcément. Les entreprises peuvent déployer des solutions open source ou communautaires avec des moteurs KMIP, telles que HashiCorp Vault (Enterprise) ou OpenBao, dans une machine virtuelle ou un environnement de conteneur indépendant et renforcé. L’essentiel est d’isoler physiquement cet environnement du NAS et de séparer les contrôles d’accès, tout en garantissant la génération de journaux d’audit d’accès complets.
