Was KMS-Schlüssel sind und leisten

Die Stärke einer Verschlüsselung hängt auch davon ab, wie Sie die Schlüssel schützen. Schlüssel im Code oder in Dateien zu speichern, ist riskant und schwer zu prüfen.

AWS KMS (Key Management Service) erstellt, speichert und kontrolliert Verschlüsselungsschlüssel in Hardware-Sicherheitsmodulen und verknüpft jede Verwendung mit IAM-Berechtigungen und Audit-Protokollen.

Ein KMS-Schlüssel (früher CMK, Customer Master Key, genannt) ist die logische Darstellung eines kryptografischen Schlüssels innerhalb von KMS.

• Das Schlüsselmaterial verlässt KMS niemals unverschlüsselt.
• Sie fordern KMS zum Verschlüsseln oder Entschlüsseln auf; der eigentliche Schlüssel wird Ihnen nicht offengelegt.

Dies bildet die Grundlage der AWS-Verschlüsselung.

Vom Kunden verwaltete Schlüssel sind KMS-Schlüssel, die Sie erstellen und vollständig kontrollieren.

• Sie legen die Schlüsselrichtlinie fest, aktivieren oder deaktivieren den Schlüssel und planen seine Löschung.
• Sie kontrollieren Schlüsselrotation und Berechtigungsvergaben.

Sie kosten eine geringe monatliche Gebühr zuzüglich Gebühren pro Anfrage und bieten die umfassendste Kontrolle.

Von AWS verwaltete Schlüssel werden in Ihrem Auftrag von einem AWS-Service erstellt und beispielsweise aws/s3 genannt.

• AWS verwaltet ihre Richtlinie und Rotation.
• Sie können ihre Schlüsselrichtlinie nicht ändern und sie nicht direkt löschen.

Sie sind praktisch, bieten aber weniger Kontrolle als vom Kunden verwaltete Schlüssel.

Von AWS bereitgestellte Schlüssel sind ein gemeinsamer Pool, den AWS für viele Konten verwendet.

Sie sind in Ihrem Konto nicht sichtbar, kostenlos und werden vollständig von AWS verwaltet. Sie können sie weder anzeigen noch prüfen oder kontrollieren. Daher eignen sie sich für Fälle, in denen Sie keine Transparenz über die Schlüssel benötigen.

Sie interagieren mit KMS über API-Aufrufe wie Encrypt, Decrypt und GenerateDataKey.

KMS führt die Kryptografie serverseitig aus und gibt das Ergebnis zurück. Die direkte Verschlüsselung ist auf kleine Datenmengen (bis etwa 4 KB) beschränkt; für größere Daten werden Datenschlüssel verwendet, die später behandelt werden.

Jeder KMS-API-Aufruf wird in CloudTrail aufgezeichnet.

Sie erhalten eine vollständige Prüfspur darüber, wer welchen Schlüssel wann und für welchen Vorgang verwendet hat. Dadurch ist KMS sowohl eine Kontrollinstanz als auch ein Mechanismus zur Nachvollziehbarkeit – besonders wichtig für die Untersuchung von Sicherheitsvorfällen.

Ein Alias ist ein verständlicher Name, der auf einen KMS-Schlüssel verweist, etwa alias/prod-db.

• Anwendungen verweisen auf den Alias und nicht auf die Schlüssel-ID.
• Sie können einen Alias auf einen neuen Schlüssel umleiten, ohne den Anwendungscode zu ändern.

Aliase vereinfachen Rotation und Verwaltung.

Ein KMS-Schlüssel durchläuft verschiedene Status: aktiviert, deaktiviert, Löschung ausstehend und (bei importiertem Material) Import ausstehend.

Durch das Deaktivieren eines Schlüssels wird seine Verwendung blockiert, ohne ihn zu löschen. Die Löschung wird mit einer Wartefrist von 7 bis 30 Tagen geplant, damit Sie sie abbrechen können, falls die Daten noch benötigt werden, denn die Löschung ist irreversibel.

KMS ist die zentrale Schlüsselinstanz hinter fast jeder AWS-Verschlüsselung: S3, EBS, RDS, Secrets Manager und weitere Services rufen KMS im Hintergrund auf.

Das Verständnis der Schlüsseltypen und ihrer Kontrolle ist wichtig, da Prüfungsfragen davon abhängen, wer einen bestimmten Schlüssel verwaltet und verwenden darf.

Wählen Sie nach dem erforderlichen Kontrollumfang:

• Vom Kunden verwaltet, wenn Sie vollständige Kontrolle, eine benutzerdefinierte Richtlinie oder eine Prüfung der Rotation benötigen.
• Von AWS verwaltet für eine komfortable Service-Verschlüsselung.
• Von AWS bereitgestellt, wenn Sie keinerlei Transparenz benötigen.

Sie haben gelernt, was KMS-Schlüssel sind.

• Das Schlüsselmaterial bleibt in KMS; Sie rufen Encrypt/Decrypt auf.
• Vom Kunden verwaltete Schlüssel bieten vollständige Kontrolle; von AWS verwaltete Schlüssel werden von Services erstellt; von AWS bereitgestellte Schlüssel sind unsichtbar.
• Aliase, Schlüsselstatus und CloudTrail unterstützen eine sichere Verwaltung.