Noem een DEK een gegevensversleutelingssleutel en een KEK een sleutelversleutelingssleutel. Welke beschrijving van envelopeversleuteling, zoals gebruikt bij opslag in de cloud en elders, is juist?

Antwoord: A. De gegevens worden met een DEK versleuteld, en de DEK wordt met een KEK binnen de sleutelbeheerdienst versleuteld en samen met de gegevens opgeslagen

Bij envelopeversleuteling wordt voor elk gegevensobject een DEK gemaakt en worden de gegevens met symmetrische cryptografie versleuteld; de DEK wordt met een KEK binnen een KMS of HSM versleuteld (ingepakt, wrapping) en naast de versleutelde gegevens opgeslagen. Grote gegevens hoeven niet naar de sleutelbeheerdienst te worden gestuurd, en de KEK verlaat het apparaat nooit, zodat de sleutels die het strengst moeten worden beschermd tot een klein aantal beperkt blijven. Bij het vernieuwen van de KEK hoeven alleen de kleine DEK's opnieuw te worden versleuteld, niet alle gegevens. Om de gegevens te lezen, laat men de ingepakte DEK door de KMS ontsleutelen en ontsleutelt men de gegevens lokaal.