AWS'de şifreleme ve sertifika yönetimi

AWS'de Uygulama Dağıtımı

Dunieski Otano

Amazon Web Services Solutions Architect

Kayıp yedek disk

Taşıma sırasında bir yedek sürücü kaybolur
Dinlenimde şifreliyse, hırsız için işe yaramaz
TLS, ağdaki veri için de aynısını yapar

Dinlenimde şifrelemeyi temsil eden kilitle korunan bir disk ile korumasız disk

Dinlenimde ve aktarımda şifreleme

İki panelli karşılaştırma: solda KMS anahtarıyla korunan RDS ve S3 simgeleriyle dinlenimde şifreleme, sağda istemciden Lambda'ya ağ üstünde TLS tüneli

At rest: diskte tutulan veri şifrelenir
At rest anahtarlar kullanır, genelde KMS ile
In transit: ağda taşınan veri şifrelenir
In transit TLS sertifikaları kullanır

İstemci tarafı vs sunucu tarafı şifreleme

Sunucu tarafı

Hizmet, veriyi aldıktan sonra şifreler
En kolayı; adımı AWS yönetir, genelde bir KMS anahtarıyla

İstemci tarafı

Veri kodundan çıkmadan önce sen şifrelersin
Hizmet yalnızca şifreli metni saklar, asla düz metni değil

Genel vs özel sertifikalar

ACM: alan adların için ücretsiz herkese açık TLS sertifikaları
Yük dengeleyiciler, CloudFront, API Gateway'de kullanılır
AWS Private CA: dahili, özel sertifikalar verir
Private CA, dahili servisler ve mTLS'i güçlendirir

Solda yük dengeleyici ve CloudFront için ACM ücretsiz genel sertifika; sağda dahili servisler arası mTLS için Private CA sertifikası

KMS anahtarları ve döndürme

AWS-managed keys: AWS oluşturur ve döndürür
Customer-managed keys: ilke ve döndürme sende
Automatic rotation: her yıl yeni anahtar malzemesi, aynı anahtar kimliği
Uygulamalar aynı anahtar referansını kullanmaya devam eder

Yan yana KMS anahtar tipleri: solda otomatik döndürmeli AWS-managed key; sağda yapılandırılabilir anahtar ilkesi ve yıllık zaman çizelgesiyle customer-managed key

Hesaplar arası anahtar erişimi

Hesaplar arası KMS anahtar erişimi: Hesap A'da ilkeyle Hesap B'ye kullanım izni veren anahtar; Hesap B, anahtar materyali KMS'den çıkmadan şifreler/çözer

Bir key policy, bir KMS anahtarını kimin kullanacağını kontrol eder
İlke ile başka bir hesaba anahtarı kullanma yetkisi ver
Anahtar asla KMS'den çıkmaz
Hesaplar arası paylaşılan şifreli kaynaklar sağlar

Şifreleme ve sertifikaları bir araya getirmek

In transit: ACM sertifikası TLS'i uçta sonlandırır
At rest: KMS anahtarı depolanan veriyi şifreler
Anahtarları otomatik döndür; sertifikaları otomatik yenile
Kablodan diske katmanlı koruma

Katmanlı şifreleme yığını: uçta aktarımda TLS'i sonlandıran ACM sertifikası ve dinlenimde veriyi şifreleyen KMS anahtarı; ikisi için de yıllık otomatik yenileme ve döndürme

Hadi pratik yapalım!

AWS'de Uygulama Dağıtımı