Chiffrement et gestion des certificats sur AWS

Déployer des applications sur AWS

Dunieski Otano

Amazon Web Services Solutions Architect

Le disque de sauvegarde égaré

Un disque de sauvegarde se perd en transit
Chiffré au repos, il est inutile pour un voleur
TLS fait pareil pour les données en transit

Un disque protégé par un cadenas représentant le chiffrement au repos versus un disque non protégé

Chiffrement au repos vs en transit

Comparaison en deux volets : chiffrement au repos montrant les icônes RDS et S3 chacune protégée par une clé KMS à gauche, et tunnel TLS en transit du client vers Lambda à droite

Au repos : données sur disque chiffrées
Au repos utilise des clés, souvent via KMS
En transit : données sur le réseau chiffrées
En transit utilise des certificats TLS

Chiffrement côté client vs côté serveur

Côté serveur

Le service chiffre les données après réception
Plus simple ; AWS gère l'étape, souvent avec une clé KMS

Côté client

Vous chiffrez avant que les données quittent votre code
Le service stocke seulement du texte chiffré, jamais en clair

Certificats publics vs privés

ACM : certificats TLS publics gratuits pour vos domaines
Utilisés sur les équilibreur(s) de charge, CloudFront, API Gateway
AWS Private CA : émet des certificats internes, privés
Private CA alimente les services internes et mTLS

Certificat public ACM sur équilibreur de charge et CloudFront à gauche versus certificat Private CA pour mTLS interne service à service à droite

Clés KMS et rotation

Clés gérées par AWS : créées et tournées par AWS
Clés gérées par le client : vous contrôlez la stratégie et la rotation
Rotation automatique : nouveau matériel de clé annuel, même ID de clé
Les applications gardent la même référence de clé

Types de clés KMS côte à côte : clé gérée par AWS avec rotation automatique à gauche, clé gérée par le client avec stratégie configurable et échéancier de rotation annuel à droite

Accès intercomptes à une clé

Accès intercompte à une clé KMS : clé dans le compte A avec une stratégie de clé accordant au compte B l'autorisation de l'utiliser ; le compte B chiffre et déchiffre sans que le matériel de clé ne quitte KMS

Une stratégie de clé contrôle qui peut utiliser une clé KMS
Accorder l'usage de la clé à un autre compte via la stratégie
La clé ne quitte jamais KMS
Permet des ressources chiffrées partagées entre comptes

Combiner chiffrement et certificats

En transit : certificat ACM termine TLS en périphérie
Au repos : clé KMS chiffre les données stockées
Rotation et renouvellement automatiques des clés et certificats
Protection en couches, du réseau au disque

Empilement de chiffrement : certificat ACM qui termine TLS en transit en périphérie et clé KMS qui chiffre les données au repos, avec renouvellement et rotation annuels automatisés pour les deux

Passons à la pratique !

Déployer des applications sur AWS