Chiffrement des données chez Cybernetics : AES-256-GCM avec OVHcloud KMS, une clé dédiée par client, chiffrement par enveloppe et icône de chiffrement dans l'application.
Protection des données
Cybernetics affiche une icône de chiffrement dans l'application. Elle signale que vos données sensibles sont chiffrées : elles sont chiffrées à l'écriture et déchiffrées à la volée, uniquement pour les utilisateurs autorisés.
Chiffrement des données
Les données personnelles sensibles (identités des comptes et des appareils) sont chiffrées champ par champ avec l'algorithme AES-256-GCM, avec une clé dédiée à chaque client gérée par le service OVHcloud Key Management Service (KMS), conformément aux exigences du RGPD (en savoir plus sur l'architecture KMS).
Modèle de clés
Une clé de service par entreprise : chaque entreprise dispose de sa propre clé dans OVHcloud KMS, créée à son inscription. Elle ne quitte jamais le KMS.
Des clés de données : cette clé génère des clés de données (chiffrement par enveloppe). Chaque valeur est stockée avec sa clé de données chiffrée par le KMS ; la version en clair n'est gardée en mémoire que pour une durée limitée (une minute), puis effacée.
Une sous-clé par valeur : chaque valeur est chiffrée avec une sous-clé dérivée par HKDF-SHA256 à partir de la clé de données, d'un sel aléatoire et du contexte (entreprise, table, colonne).
La compromission d'une clé de service isolée n'expose donc que les données de cette entreprise chiffrées par le KMS.
ℹ Bon à savoir
Le chiffrement par le KMS couvre les identités des comptes et des appareils. D'autres données (identifiants de connecteurs, certains champs de l'entreprise et des utilisateurs) sont protégées par le chiffrement authentifié du framework, avec des clés applicatives gérées par la plateforme. En cas d'indisponibilité du KMS, un chiffrement de secours géré par la plateforme est appliqué, tracé, puis remplacé par le chiffrement KMS. Le renforcement de la séparation des clés est en cours.
Représentation des données en base
Chaque valeur chiffrée est stockée avec les éléments nécessaires à son déchiffrement :
un identifiant du fournisseur KMS ;
le texte chiffré ;
un vecteur d'initialisation unique ;
le tag d'authentification GCM ;
un sel de dérivation ;
le contexte de chiffrement (client et champ concerné) ;
la clé de données, elle-même chiffrée par le KMS (chiffrement par enveloppe).
La clé en clair n'est jamais stockée. En cas d'exfiltration de la base de données, ces champs restent illisibles sans accès au KMS.
Mesure de sécurité complémentaire
L'authentification entre Cybernetics et le KMS repose sur des certificats clients (mTLS) renouvelés périodiquement. Cette mesure assure une gestion active des accès et réduit les risques liés à l'authentification.
Articles liés
Une question ? Nous contacter.