Étude de cas CICR

Le problème

Les données humanitaires peuvent mettre des vies en danger. Les personnes touchées par les conflits conservent leurs pièces d’identité et leurs documents personnels sur RedSafe. Vault les chiffre, mais Vault doit lui-même être descellé : des parts de clé manuelles dépendent de la disponibilité de leurs détenteurs, et un KMS cloud donnerait le dernier mot à l’hébergeur.

Ce qu’apporte DuoKey

DuoKey est le fournisseur d’auto-unseal de Vault. La clé racine de Vault est protégée par une clé de scellement détenue dans le Multi-Party Computation de DuoKey, qui n’existe jamais en un seul endroit. Vault démarre et se descelle sans détenteurs de clés, et sans DuoKey, une copie des données ou de Vault reste scellée.

Comment ça marche

Étape par étape, le chemin des clés

01 / 04
Un document entre dans le coffre RedSafe
Une personne touchée par un conflit ajoute un passeport, un acte de naissance ou un dossier médical au coffre numérique de RedSafe, depuis son téléphone ou l’application web.
02 / 04
Vault ne se descelle que via DuoKey
Au démarrage, HashiCorp Vault demande à DuoKey de déchiffrer sa clé racine. La clé de scellement reste dans le MPC de DuoKey. Aucun opérateur ne détient de part de clé.
03 / 04
Les données sont chiffrées avant le stockage
Une fois descellé, Vault chiffre chaque dossier avant son stockage. Seules des données chiffrées arrivent dans le stockage.
04 / 04
Sans DuoKey, tout reste scellé
Une copie du stockage ou de Vault ne peut pas être déchiffrée sans la clé de scellement dans DuoKey, et c’est le CICR qui décide qui peut y accéder.

Direction de la sécurité

Les questions auxquelles ce programme devait répondre

Ce qui a changé

Comment DuoKey garde le chiffrement de RedSafe sous le contrôle du CICR

Auto
Vault se descelle sans détenteurs de clés
Aucune part de clé de descellement à distribuer, stocker ou réunir. Vault redémarre et se descelle seul.
MPC
La clé de scellement n’est jamais en un seul endroit
La clé qui protège la clé racine de Vault est répartie entre des nœuds MPC, sans appliance HSM physique.
CICR
L’organisation garde le dernier mot
Sans la clé de scellement dans DuoKey, Vault reste scellé et ses données illisibles. L’hébergeur ne la détient jamais.
Preuve
Chaque descellement est tracé
Chaque demande de descellement est journalisée par DuoKey, indépendamment de l’hébergeur.

Autres programmes

Volkswagen

Des mises à jour OTA qui restent sous l’autorité du constructeur.

Voir l’étude de cas

Opérateur énergétique suisse

Des documents du conseil protégés par une clé que Microsoft ne détient pas.

Voir l’étude de cas

Grande banque allemande

Microsoft 365 pour une banque, avec la clé entre les mains de la banque.

Voir l’étude de cas

Banque fintech suisse

Des transactions blockchain signées sans qu’une clé complète n’existe jamais.