Cifrado y gestión de certificados en AWS

Implementación de aplicaciones en AWS

Dunieski Otano

Amazon Web Services Solutions Architect

El disco de copia de seguridad perdido

Se pierde una unidad de copia de seguridad en el transporte
Si está cifrada en reposo, no sirve al ladrón
TLS hace lo mismo para los datos en tránsito

Un disco protegido con un candado que representa el cifrado en reposo frente a un disco sin proteger

Cifrado en reposo vs en tránsito

Comparación en dos paneles: cifrado en reposo con iconos de RDS y S3 protegidos por una clave de KMS a la izquierda, y túnel TLS en tránsito del cliente a Lambda a la derecha

En reposo: los datos en disco se cifran
En reposo usa claves, a menudo vía KMS
En tránsito: los datos en la red se cifran
En tránsito usa certificados TLS

Cifrado en cliente vs en servidor

En el servidor

El servicio cifra los datos tras recibirlos
Lo más simple; AWS gestiona el paso, normalmente con una clave de KMS

En el cliente

Cifras antes de que los datos salgan de tu código
El servicio solo almacena texto cifrado, nunca texto en claro

Certificados públicos vs privados

ACM: certificados TLS públicos y gratuitos para tus dominios
Se usan en balanceadores, CloudFront, API Gateway
AWS Private CA: emite certificados internos y privados
Private CA habilita servicios internos y mTLS

Certificado público gratuito de ACM en balanceador y CloudFront a la izquierda frente a certificado de Private CA para mTLS interno servicio a servicio a la derecha

Claves de KMS y rotación

Claves gestionadas por AWS: creadas y rotadas por AWS
Claves gestionadas por el cliente: tú controlas la política y la rotación
Rotación automática: nuevo material de clave anual, mismo ID de clave
Las aplicaciones siguen usando la misma referencia de clave

Tipos de claves de KMS en paralelo: clave gestionada por AWS con rotación automática a la izquierda, clave gestionada por el cliente con política configurable y cronograma de rotación anual a la derecha

Acceso a claves entre cuentas

Acceso a claves de KMS entre cuentas: clave en la Cuenta A con una política de clave que concede permiso a la Cuenta B para usarla; la Cuenta B cifra y descifra sin que el material de la clave salga de KMS

Una política de clave controla quién puede usar una clave de KMS
Concede a otra cuenta el uso de la clave mediante la política
La clave nunca sale de KMS
Permite recursos cifrados compartidos entre cuentas

Integrar cifrado y certificados

En tránsito: el certificado de ACM termina TLS en el perímetro
En reposo: la clave de KMS cifra los datos almacenados
Rota claves automáticamente; renueva certificados automáticamente
Protección en capas, del cable al disco

Pila de cifrado por capas: certificado de ACM que termina TLS en tránsito en el perímetro y clave de KMS que cifra los datos en reposo, con renovación y rotación anual automáticas para ambos

¡Vamos a practicar!

Implementación de aplicaciones en AWS