Criptare și gestionarea certificatelor pe AWS

Implementarea aplicațiilor pe AWS

Dunieski Otano

Amazon Web Services Solutions Architect

Drive-ul de backup dispărut

Un drive de backup se pierde în tranzit
Criptat, devine inutil pentru un hoț
TLS face același lucru pentru datele în tranzit

Un disc protejat de un lacăt, reprezentând criptarea datelor stocate, față de un disc neprotejat

Criptare la stocare vs. în tranzit

Comparație în două panouri: criptare la stocare cu pictogramele RDS și S3 protejate de o cheie KMS (stânga) și tunel TLS în tranzit de la client la Lambda (dreapta)

La stocare: datele de pe disc sunt criptate
Criptarea la stocare folosește chei, adesea prin KMS
În tranzit: datele transmise prin rețea sunt criptate
Criptarea în tranzit folosește certificate TLS

Criptare pe client vs. pe server

Pe server

Serviciul criptează datele după ce le primește
Cea mai simplă variantă; AWS gestionează procesul, de obicei cu o cheie KMS

Pe client

Criptezi datele înainte ca acestea să părăsească codul tău
Serviciul stochează doar text cifrat, niciodată text simplu

Certificate publice vs. private

ACM: certificate TLS publice gratuite pentru domeniile tale
Utilizate pe load balancere, CloudFront, API Gateway
AWS Private CA: emite certificate interne, private
Private CA susține serviciile interne și mTLS

Certificate publice ACM gratuite pe load balancer și CloudFront (stânga) versus certificate Private CA pentru mTLS intern între servicii (dreapta)

Chei KMS și rotație

Chei gestionate de AWS: create și rotite automat de AWS
Chei gestionate de client: tu controlezi politica și rotația
Rotație automată: material de cheie nou anual, același ID de cheie
Aplicațiile continuă să folosească aceeași referință de cheie

Tipuri de chei KMS alăturat: cheie gestionată de AWS cu rotație automată (stânga) și cheie gestionată de client cu politică configurabilă și cronologie de rotație anuală (dreapta)

Acces la chei între conturi

Acces la chei KMS între conturi: cheie în Contul A cu o politică ce acordă permisiuni Contului B, care criptează și decriptează fără ca materialul cheii să părăsească KMS

O politică de cheie controlează cine poate folosi o cheie KMS
Acordă unui alt cont accesul la cheie prin politică
Cheia nu părăsește niciodată KMS
Permite resurse criptate partajate între conturi

Criptare și certificate – o privire de ansamblu

În tranzit: certificatul ACM termină TLS la margine
La stocare: cheia KMS criptează datele stocate
Rotește cheile automat; reînnoiește certificatele automat
Protecție stratificată, de la rețea la disc

Stivă de criptare stratificată: certificat ACM care termină TLS în tranzit la margine și cheie KMS care criptează datele la stocare, cu reînnoire și rotație automată anuală pentru ambele

Hai să exersăm!

Implementarea aplicațiilor pe AWS