Oracle vient d'annoncer Key Vault, une appliance logicielle conçue pour permettre aux entreprises de gérer de façon sécurisée les clés de chiffrement et les certificats dans leur datacenter. Ce référentiel permet de conserver les copies de milliers ou centaines de milliers de clés et certificats utilisés pour protéger les données et les opérations. Les JavaKeyStores, fichiers SSH et certificats SSL sont souvent distribués à travers les serveurs et groupes de serveurs qui utilisent des mécanismes de synchronisation et de backup, souligne Oracle. L'objectif est de les gérer de façon centralisée et de permettre aux équipements et terminaux qui les utilisent d'y accéder très facilement, explique Vipin Samar, vice-président, qui supervise chez Oracle les technologies liées à la sécurité des bases de données.
Key Vault s'adresse aux entreprises et administrations qui doivent respecter des contraintes réglementaires pour la gestion de ces clés : fréquence de modification, fréquence d'accès, authentification des utilisateurs, etc.  L'application de coffre-fort doit pouvoir répondre à ces questions. De nombreuses réglementations requièrent des audits prouvant que les clés sont régulièrement changées, correctement détruites et utilisées exclusivement par les entités autorisées, rappelle Oracle.
Conforme au standard OASIS KMIP
L'appliance fonctionne sur un serveur x86 sous Linux avec la base de données d'Oracle dont elle utilise les fonctions de sécurité : audit, contrôle d'accès, chiffrement. Les mises à jour et les correctifs seront testés ensemble et livrés tous les trois mois. Le coffre-fort peut stocker les clés pour Secure Shell, SSL, Kerberos keytabs, fichiers Oracle Wallet, Java KeyStores et autres certificats. Il gère les clés en s'appuyant sur le standard OASIS KMIP (Key management interoperability protocol).
Oracle n'est pas le seul à proposer de solutions pour centraliser les clés de chiffrement. On en trouve aussi chez Symantec, WinMagic et SafeNet (qui vient de se faire racheter par Gemalto). Key Vault fonctionne aussi avec des applications qui n'ont pas été développées par Oracle.