Suppression d'un environnement et destruction des clés

Chaque environnement KeenAuth dispose de ses propres clés de chiffrement. Lorsqu'un environnement est supprimé, KeenAuth détruit ces clés, de sorte que les données de l'environnement deviennent définitivement illisibles, y compris dans les endroits où une copie chiffrée subsiste encore pendant un certain temps, comme les sauvegardes. Cette page explique ce qui est détruit, quand, et ce qui subsiste. Les parties qui ne sont pas encore disponibles sont indiquées par planned.

La hiérarchie des clés

Les champs sensibles d'un environnement (par exemple les secrets MFA, les clés de signature des jetons, les secrets de connexion et de webhook, les données personnelles dans les journaux, les archives de journaux et les fichiers d'export) sont chiffrés avec des clés de données. Ces clés de données sont enveloppées par la clé maîtresse propre au locataire de l'environnement, et la clé maîtresse du locataire est enveloppée par une clé de la cellule KeenAuth où se trouve l'environnement. La clé de la cellule ne quitte jamais le système de gestion de clés de la cellule et ne peut pas être exportée.

• Chaque environnement dispose de ses propres clés maîtresses de locataire, une pour chaque service KeenAuth qui stocke des données chiffrées ; aucune clé n'est partagée entre environnements, pas même entre les environnements d'un même compte.
• Le chiffrement propre au fournisseur de stockage n'est pas utilisé comme garantie : les données sont chiffrées par KeenAuth avant d'être écrites.

Ce qui se passe lors de la suppression d'un environnement

1. Les clés sont détruites en premier. Chaque clé maîtresse de locataire de l'environnement est marquée comme détruite et son matériel de clé enveloppé est effacé. Un enregistrement indiquant que la clé a existé et a été détruite est conservé, sans la clé elle-même.
2. Les données actives sont supprimées. Les utilisateurs, organisations, applications, sessions, journaux et autres enregistrements de l'environnement sont supprimés des bases de données actives.
3. Les clés de signature des e-mails sont supprimées. Les clés de signature DKIM des domaines d'envoi de l'environnement sont retirées du système de gestion de clés de la cellule lors de la même étape.

Dès la fin de l'étape 1, aucun système KeenAuth en fonctionnement ne peut déchiffrer les champs chiffrés de l'environnement, même avant que les lignes elles-mêmes ne soient supprimées.

Sauvegardes et limite de 30 jours

Les sauvegardes de bases de données et les instantanés des systèmes de gestion de clés peuvent encore contenir une copie enveloppée d'une clé détruite. Ils sont conservés pendant 30 jours au maximum. Lorsque la dernière sauvegarde contenant la clé a expiré, toute copie chiffrée des données de l'environnement (dans les sauvegardes, les archives et les fichiers d'export résiduels) devient définitivement impossible à déchiffrer.

• Si une sauvegarde doit être restaurée, les environnements supprimés sont de nouveau retirés avant que le système restauré ne soit mis en ligne (planned).
• Un certificat de suppression, listant les versions de clés détruites et la date d'expiration de la dernière sauvegarde, est produit après les 30 jours (planned).

Conservation à des fins juridiques

Si un environnement fait l'objet d'une conservation à des fins juridiques, la destruction des clés est reportée jusqu'à la levée de cette conservation, puis intervient dans un délai de 24 heures (planned).

Supprimer un environnement

La suppression et la restauration d'environnements depuis le tableau de bord et l'API de gestion sont planned. D'ici là, contactez le support KeenAuth pour supprimer un environnement.