Claves simétricas, asimétricas y multirregión

KMS admite claves simétricas y asimétricas.

• Simétricas: una misma clave cifra y descifra.
• Asimétricas: un par de claves pública y privada.

Cada tipo se adapta a necesidades diferentes, y elegir correctamente es un tema frecuente del examen.

Las claves simétricas utilizan una única clave secreta (AES-256) tanto para cifrar como para descifrar.

• Son la opción predeterminada y la más habitual en AWS.
• Casi todas las integraciones de servicios (S3, EBS y RDS) utilizan claves simétricas.

La clave nunca sale de KMS, por lo que ambas partes llaman a KMS en lugar de compartirla.

Las claves asimétricas tienen una clave pública que puede compartir y una clave privada que permanece en KMS.

Admiten cifrado y descifrado, o firma y verificación. Utilícelas cuando una parte externa a AWS deba cifrar datos (con la clave pública) o verificar una firma sin acceso a KMS.

Elija claves asimétricas cuando:

• Los datos deban cifrarse fuera de AWS y el emisor solo tenga la clave pública.
• Necesite firmas digitales para demostrar la autenticidad.

En los demás casos, las claves simétricas son más sencillas y constituyen la opción predeterminada para el cifrado de servicios de AWS.

Cada clave de KMS tiene un uso de clave (cifrar/descifrar o firmar/verificar) y una especificación de clave (algoritmo) definidos al crearla.

Una clave de firma no puede cifrar y una clave de cifrado no puede firmar. Estas propiedades quedan fijadas una vez creada la clave, por lo que debe planificar de antemano el uso previsto.

En el caso de las claves simétricas administradas por el cliente, KMS puede realizar la rotación automática del material de clave subyacente cada año.

• El ID de la clave y el alias permanecen iguales.
• El material antiguo se conserva para descifrar los datos antiguos.

Las claves asimétricas no admiten la rotación automática.

Las claves multirregión constan de una clave principal y réplicas en otras regiones que comparten el mismo ID y material de clave.

Los datos cifrados en una región pueden descifrarse mediante la réplica de otra sin una llamada de KMS entre regiones. Esto permite admitir aplicaciones globales y la recuperación ante desastres.

Las claves Multi-Region son adecuadas para situaciones como:

• Recuperación ante desastres entre regiones, cuando las copias de seguridad cifradas deben poder utilizarse en una segunda región.
• Tablas globales o datos replicados entre regiones.

Para los datos que permanecen en una sola región, una clave estándar de una sola región es más sencilla.

KMS le permite importar su propio material de clave (BYOK) en una clave simétrica.

Usted controla la generación y la retención, pero pierde la rotación automática y debe volver a importar el material cuando caduque. Esto cumple las políticas que exigen que las claves se generen fuera de AWS.

Para los requisitos más estrictos, un almacén de claves personalizado respalda las claves de KMS con un clúster CloudHSM dedicado o con un HSM externo.

Las operaciones con las claves se realizan en hardware que usted controla, mientras sigue utilizando la conocida API de KMS. Esta opción se reserva para requisitos de cumplimiento especialmente exigentes.

Resumen de las opciones:

• Simétrica para el cifrado cotidiano de AWS (opción predeterminada).
• Asimétrica para el cifrado o la firma externos.
• Multi-Region para necesidades entre regiones.

Adapte el tipo de clave al flujo de datos del escenario.

Elija la clave adecuada.

Ha comparado los tipos de claves de KMS.

• Simétrica es la opción predeterminada de AWS; asimétrica permite el cifrado y la firma externos.
• Las claves Multi-Region comparten material entre regiones para la recuperación ante desastres.
• La rotación automática se aplica a las claves simétricas; BYOK y los almacenes de claves personalizados cubren necesidades estrictas.