Het Key Management Interoperability Protocol (KMIP) is een open OASIS-standaard die definieert hoe applicaties communiceren met een sleutelbeheerserver om cryptografische sleutels, certificaten en geheimen te creëren, op te halen en te beheren, ongeacht welke leverancier beide zijden heeft gebouwd.
KMIP standaardiseert de communicatie tussen encryptiesystemen en sleutelbeheerders. Applicaties, databases en opslagsystemen sturen KMIP-verzoeken naar een centrale sleutelbeheerserver, die hun encryptiesleutels aanmaakt, opslaat, roteert en vernietigt. Eén protocol vervangt de redundante, incompatibele sleutelbeheerders die elk encryptieproduct anders nodig zou hebben, waardoor kosten en operationele complexiteit worden verlaagd.
Key Takeaways
- KMIP is een open OASIS-standaard. Versie 1.0 werd goedgekeurd in oktober 2010 en KMIP 2.1, goedgekeurd op 14 december 2020, is de huidige OASIS-standaard.
- Eén KMIP-compatibele sleutelbeheerserver kan alle KMIP-compatibele applicaties, databases en opslagsystemen binnen de onderneming bedienen en vervangt daarmee leverancierspecifieke sleutelbeheerders.
- KMIP-berichten gebruiken een binaire TTLV-codering (Tag, Type, Length, Value) en worden verzonden via TLS; de KMIP Profiles-specificatie definieert de vereiste TLS 1.2- en TLS 1.3-coderingssuites.
- Een KMIP-server beheert symmetrische sleutels, publieke en private sleutels, certificaten, geheime gegevens, gesplitste sleutels en ondoorzichtige objecten gedurende hun volledige levenscyclus.
- KMIP 3.0, gepubliceerd als Committee Specification Draft 02 op 7 mei 2026, voegt ondersteuning toe voor post-quantum: ML-KEM (FIPS 203), ML-DSA (FIPS 204) en SLH-DSA (FIPS 205), plus nieuwe Encapsulate- en Decapsulate-bewerkingen.
Hoe KMIP werkt
KMIP werkt als een client-serverprotocol: een applicatie stuurt een gestandaardiseerd verzoekbericht naar een sleutelbeheerserver, en de server antwoordt met een reactie die een cryptografisch object aanmaakt, retourneert of wijzigt.
Het protocol definieert de bewerkingen die een client kan aanvragen. Deze omvatten: Aanmaken, Sleutelpaar aanmaken, Registreren, Ophalen, Lokaliseren, Activeren, Intrekken, Vernietigen, Sleutel afleiden en Sleutel opnieuw genereren. Een client kan de server ook vragen om namens hem gegevens te versleutelen, te ontsleutelen, te ondertekenen of de handtekening te verifiëren, zodat de sleutel zelf de sleutelbeheerserver nooit verlaat. Met een 'Versies ontdekken'-bewerking kan een client achterhalen welke protocolversies een server ondersteunt voordat hij zich aan een bepaalde versie verbindt.
Berichten worden gecodeerd in TTLV (Tag, Type, Length, Value), een compact binair formaat waarin geneste structuren complexe verzoeken met meerdere bewerkingen in één bericht bevatten. De specificatie definieert ook HTTPS-, JSON- en XML-berichtcoderingen voor omgevingen waar binaire verwerking onpraktisch is. Het transport verloopt via TLS, en de bijbehorende KMIP Profiles-specificatie benoemt de TLS 1.2- en TLS 1.3-coderingssuites die conforme clients en servers moeten ondersteunen.
Het praktische effect is eenvoudig: KMIP geeft elk encryptiesysteem binnen de organisatie één taal om met één sleutelbeheerder te communiceren. Zonder KMIP heeft elk encryptieproduct zijn eigen sleutelbeheerder en protocol, en betaalt de organisatie voor die redundantie in de vorm van licenties, infrastructuur en training.
KMIP-versies: 1.0 tot en met 3.0
OASIS heeft sinds 2010 zeven versies van de KMIP-specificatie goedgekeurd als OASIS-standaarden, en een achtste, KMIP 3.0, is in concept.
| Versie | OASIS-status | Datum |
| KMIP 1.0 | OASIS-standaard | Oktober 2010 |
| KMIP 1.1 | OASIS-standaard | Januari 2013 |
| KMIP 1.2 | OASIS-standaard | mei 2015 |
| KMIP 1.3 | OASIS-standaard | December 2016 |
| KMIP 1.4 | OASIS-standaard | November 2017 |
| KMIP 2.0 | OASIS-standaard | Oktober 2019 |
| KMIP 2.1 | OASIS-standaard (huidig) | December 14, 2020 |
| KMIP 3.0 | Ontwerpspecificatie commissie 02 (in ontwikkeling) | May 7, 2026 |
Productieomgevingen zijn tegenwoordig gericht op KMIP 2.1 of ouder, aangezien 3.0 nog niet de OASIS-standaardstatus heeft bereikt. Controleer bij de evaluatie van een key manager of een KMIP-compatibel product welke protocolversies worden ondersteund; veel clients gebruiken nog steeds versie 1.2 of 1.4, en de Discover Versions-functie is er juist om dit te controleren.
Wat een KMIP-server beheert
Een KMIP-server beheert de volledige levenscyclus van cryptografische objecten, van creatie tot vernietiging.
De beheerde objecttypen zijn symmetrische sleutels, publieke en private sleutels, X.509-certificaten, certificaatverzoeken, geheime gegevens zoals wachtwoorden en gedeelde geheimen, split-keys, PGP-sleutels en ondoorzichtige objecten die de server opslaat zonder ze te interpreteren. Elk object heeft attributen die de server afdwingt: activerings- en deactiveringsdatums, een cryptografisch gebruiksmasker dat beperkt wat de sleutel mag doen, gebruikslimieten en koppelingen die gerelateerde objecten verbinden, zoals een publieke sleutel met zijn private sleutel of een certificaat met zijn certificaatketen.
Het doel is om de levenscyclus van sleutels te waarborgen. Een sleutel die de deactiveringsdatum heeft overschreden, wordt niet langer gebruikt voor encryptie. Een gecompromitteerde sleutel kan worden ingetrokken met een vastgelegde reden en datum. Sleutels kunnen volgens een vast schema opnieuw worden gegenereerd, terwijl de koppelingen de relatie tussen oud en nieuw materiaal behouden.
KMIP versus PKCS#11
KMIP is een netwerkprotocol tussen een applicatie en een sleutelbeheerserver, terwijl PKCS#11 een lokale programmeerinterface is tussen een applicatie en een cryptografisch apparaat zoals een hardwarebeveiligingsmodule (HSM).
| Kenmerk | KMIP | PKCS # 11 |
| Wat het is | Netwerkprotocol (verzoek- en antwoordberichten) | C-programmeer-API (lokale functieaanroepen) |
| Geregeerd door | OASIS KMIP Technische Commissie | OASIS PKCS#11 Technische Commissie |
| strekking | Volledig beheer van de levenscyclus van sleutels in het hele netwerk. | Cryptografische bewerkingen op een lokaal token of HSM |
| Typische link | Applicatie voor bedrijfssleutelbeheerder | Toepassing op HSM of smartcard |
| Verhouding | Aanvullend; KMIP heeft sinds versie 2.0 een PKCS#11-bewerking gedefinieerd die PKCS#11-gesprekken via een KMIP-server tunnelt. | Wordt vaak gebruikt achter een KMIP-server om de HSM te bereiken die de hoofdsleutels beschermt. |
Voordelen van KMIP
KMIP verlaagt de kosten en complexiteit van bedrijfsversleuteling door veel leverancierspecifieke sleutelbeheerders te vervangen door één interoperabel systeem.
- Taakvereenvoudiging: Vóór KMIP, elke encryptie Het product had een eigen sleutelbeheerder nodig, dus de IT-teams beheerden en beveiligden meerdere parallelle systemen. Eén KMIP-compatibele sleutelbeheerder bedient ze allemaal, waardoor medewerkers slechts één systeem hoeven te leren kennen in plaats van vijf.
- Operationele flexibiliteit: Omdat het protocol leveranciersneutraal is, kan een organisatie cloud-, edge- en on-premises systemen integreren met één sleutelbeheerder en van kant wisselen zonder de integratie opnieuw op te bouwen.
- Lagere infrastructuurkosten: Minder sleutelbeheerders betekent minder licenties, minder servers en minder te beveiligen communicatiekanalen, wat de totale kosten van de beveiligingsinfrastructuur verlaagt.
- Gecentraliseerde controle en audit: Eén server handhaaft het belangrijkste levenscyclusbeleid, toegangsbeperkingen en gebruiksregistratie voor elk aangesloten systeem, in plaats van dat het beleid verspreid is over verschillende producten.
KMIP-gebruiksscenario's
KMIP verschijnt overal waar veel encryptie-eindpunten sleutels van één centrale locatie nodig hebben.
- Database-encryptie: Databases die data in rust versleutelen, halen hun hoofdsleutels op bij een externe sleutelbeheerder via KMIP. MongoDB Enterprise ondersteunt bijvoorbeeld KMIP-compatibele sleutelbeheerapparaten voor zijn versleutelde opslagengine, waardoor de hoofdsleutel buiten de database-installatie blijft.
- Versleuteling van virtuele machines en de cloud: De encryptiefuncties van de hypervisor en de cloud integreren met externe KMIP-sleutelproviders, waardoor de encryptiesleutels van virtuele machines onder de controle van de organisatie blijven in plaats van binnen het platform. Multicloudomgevingen gebruiken hetzelfde patroon om de sleutelafhandeling consistent te houden tussen providers.
- Opslagarrays met zelfversleutelende schijven: Opslagarrays halen ontgrendelingssleutels voor schijven op van een centrale KMIP-server; de KMIP Profiles-specificatie definieert zelfs specifieke conformiteitstests voor opslagarrays met zelfversleutelende schijven.
- Bandbibliotheken: Langdurige en archiveringsopslag op tapes was een van de oorspronkelijke drijfveren van KMIP, en een speciaal KMIP Tape Library Profile standaardiseert hoe bibliotheken de sleutels verkrijgen en beheren die cartridges versleutelen die jaren na elkaar zijn beschreven.
- Edge-computing: Gedistribueerde retail-, bank- en betaalomgevingen maken gebruik van veel kleine encryptie-eindpunten ver van het datacenter. KMIP stelt deze apparaten in staat om sleutels op te halen uit één conform, centraal gecontroleerd sleutelbeheersysteem in plaats van ze lokaal op te slaan.
KMIP en post-kwantumcryptografie
Het KMIP 3.0-ontwerp integreert de post-kwantumalgoritmen van NIST in het protocol zelf.
NIST publiceerde FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) en FIPS 205 (SLH-DSA) op 13 augustus 2024. KMIP 3.0 Committee Specification Draft 02, gedateerd 7 mei 2026, vermeldt alle drie als normatieve referenties, voegt een opsomming van KEM-algoritmen toe en introduceert Encapsulate- en Decapsulate-bewerkingen, zodat clients sleutelencapsulatie via de sleutelmanager kunnen uitvoeren.
Het Quantum Safe-kenmerk, dat sinds versie 2.0 deel uitmaakt van KMIP, stelt organisaties in staat beheerde sleutels te labelen en kwantumkwetsbaar materiaal te lokaliseren, waardoor de sleutelbeheerder verandert in een functionerende cryptografische inventaris.
Dat is belangrijk omdat RSA- en elliptische-curve-sleutels, die KMIP-servers tegenwoordig in grote hoeveelheden beheren, te kraken zijn met het algoritme van Shor op een voldoende krachtige kwantumcomputer, en gegevens die nu worden vastgelegd, later kunnen worden gedecodeerd zodra die hardware beschikbaar is.
Organisaties die een migratie naar een versie na de kwantumovergang plannen, moeten hun leverancier van sleutelbeheeroplossingen twee vragen stellen: welke KMIP-versies het product ondersteunt en wanneer het de objecttypen en bewerkingen van versie 3.0 na de kwantumovergang zal ondersteunen.
Hoe encryptieconsultancy kan helpen
HSM-as-a-Service biedt speciale, zeer betrouwbare hardwarebeveiligingsmodules voor het genereren en beschermen van de root- en mastersleutels die een KMIP-sleutelbeheerder gebruikt. De Enterprise Encryption Platforms -service van Encryption Consulting helpt u vervolgens bij het selecteren, implementeren en integreren van een KMIP-compatibel sleutelbeheerplatform voor uw databases, opslag en cloudworkloads, met ingebouwd lifecyclebeleid en auditfuncties. Ondersteund door ISO/IEC 27001:2022 en SOC 2-gecertificeerde werkwijzen.
Veelgestelde Vragen / FAQ
Wat is KMIP in eenvoudige bewoordingen?
KMIP is een gemeenschappelijke taal die encryptieproducten gebruiken om te communiceren met een sleutelbeheerserver. In plaats van dat elke database, opslagarray en applicatie een eigen sleutelbeheerder heeft, sturen ze allemaal gestandaardiseerde KMIP-verzoeken naar één centrale server die hun encryptiesleutels aanmaakt, opslaat, roteert en verwijdert. OASIS, de standaardiseringsorganisatie achter KMIP, keurde de standaard in oktober 2010 goed.
Wat is de nieuwste versie van KMIP?
KMIP 2.1 is de huidige OASIS-standaard, goedgekeurd op 14 december 2020. KMIP 3.0 is in ontwikkeling: OASIS publiceerde Committee Specification Draft 02 op 7 mei 2026. Het 3.0-concept voegt post-kwantumalgoritmen (ML-KEM, ML-DSA, SLH-DSA), nieuwe Encapsulate- en Decapsulate-bewerkingen en systeemobjecten voor gebruikers, groepen en referenties toe.
Wat is het verschil tussen KMIP en PKCS#11?
KMIP is een netwerkprotocol: een applicatie stuurt verzoekberichten via TLS naar een sleutelbeheerserver, die zich overal in het netwerk kan bevinden. PKCS#11 is een lokale C-programmeerinterface tussen een applicatie en een cryptografisch apparaat zoals een HSM of smartcard. Ze vullen elkaar aan en worden beide onderhouden door OASIS. KMIP heeft sinds versie 2.0 zelfs een PKCS#11-bewerking gedefinieerd die PKCS#11-aanroepen via een KMIP-server tunnelt.
Welke objecten kan een KMIP-server beheren?
Een KMIP-server beheert symmetrische sleutels, publieke en private sleutels, X.509-certificaten, certificaatverzoeken, geheime gegevens zoals wachtwoorden, split-keys, PGP-sleutels en ondoorzichtige objecten. Elk object heeft attributen, waaronder activerings- en deactiveringsdatums, gebruiksmaskers en links naar gerelateerde objecten, die de server gedurende de volledige levenscyclus, van creatie tot vernietiging, handhaaft.
Biedt KMIP ondersteuning voor post-kwantumcryptografie?
Het KMIP 3.0-concept doet dat wel. Conceptspecificatie 02 van de commissie, gedateerd 7 mei 2026, noemt NIST FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) en FIPS 205 (SLH-DSA) als normatieve referenties en voegt Encapsulate- en Decapsulate-bewerkingen toe voor sleutelinkapselingsmechanismen. KMIP 2.1 kan sleutels al voorzien van het Quantum Safe-attribuut, maar ondersteunt de post-kwantumalgoritmen zelf alleen via leveranciersextensies.
Is KMIP veilig?
KMIP werkt via TLS-beveiligde verbindingen en de KMIP Profiles-specificatie definieert de TLS 1.2- en TLS 1.3-coderingssuites die conforme clients en servers moeten ondersteunen, samen met wederzijdse authenticatie van client en server. KMIP stelt clients ook in staat om de server op afstand te vragen gegevens te versleutelen, ontsleutelen, ondertekenen of verifiëren, zodat gevoelige sleutels de sleutelbeheerserver nooit hoeven te verlaten.
Centraliseer uw sleutelbeheer.
Bent u klaar om uw sleutelbeheer te consolideren achter één interoperabel platform? Ontdek HSM-as-a-Service of neem contact op met een adviseur van Encryption Consulting om een ​​op KMIP gebaseerde sleutelbeheerarchitectuur te bouwen.