Chiffrer S3, EBS et RDS au repos

Le chiffrement au repos protège les données stockées sur disque afin que des supports ou des instantanés volés restent illisibles.

Les services de stockage AWS s’intègrent à KMS pour chiffrer les données de manière transparente. L’application voit des données normales ; le chiffrement s’effectue automatiquement en dessous.

Amazon S3 propose plusieurs options de chiffrement côté serveur (SSE) :

• SSE-S3 : clés entièrement gérées par S3 (AES-256), désormais utilisées par défaut.
• SSE-KMS : clés stockées dans KMS, avec audit et contrôle d’accès.
• SSE-C : vous fournissez la clé avec chaque requête.

Choisissez le mode SSE selon le niveau de contrôle requis :

• SSE-KMS lorsque vous avez besoin d’audit et de contrôle de l’accès aux clés via CloudTrail et les politiques de clé.
• SSE-S3 pour un chiffrement simple et automatique.
• SSE-C lorsque vous devez conserver vous-même les clés.

SSE-KMS effectue un appel KMS par objet, ce qui peut coûter cher à grande échelle. Les clés de compartiment S3 réduisent considérablement ce nombre.

Une clé de données de niveau compartiment, à durée de vie courte, gère de nombreux objets et réduit les requêtes KMS (et le coût) jusqu’à 99 %, tout en conservant un chiffrement soutenu par KMS.

Les volumes EBS (Elastic Block Store) peuvent être chiffrés avec KMS.

• Le chiffrement couvre le volume, ses instantanés et les données en transit entre le volume et l’instance.
• Il est transparent pour l’instance EC2, avec un impact négligeable sur les performances.

Vous ne pouvez pas chiffrer directement un volume EBS existant qui ne l’est pas. À la place :

• Prenez un instantané, copiez-le avec le chiffrement activé, puis créez un nouveau volume à partir de la copie chiffrée.

L’activation du chiffrement EBS par défaut au niveau du compte ou de la région empêche la création de nouveaux volumes non chiffrés.

RDS (Relational Database Service) chiffre avec KMS le stockage de la base de données, les sauvegardes automatisées, les réplicas en lecture et les instantanés.

• Le chiffrement doit être défini lors de la création.
• Pour chiffrer une instance existante qui ne l’est pas, restaurez une copie chiffrée à partir d’un instantané.

Un point essentiel à l’examen : l’état du chiffrement est conservé par les instantanés.

• Les instantanés d’un volume ou d’une base de données chiffré sont chiffrés avec la même clé.
• Pour partager un instantané chiffré entre plusieurs comptes, vous devez également partager la clé KMS.

La plupart des services de stockage et de bases de données prennent en charge le chiffrement KMS au repos, notamment :

• DynamoDB, EFS, Redshift, SQS, SNS et Secrets Manager.

Le principe est toujours le même : vous choisissez une clé KMS, puis le service gère de manière transparente le chiffrement par enveloppe.

On craint souvent que le chiffrement ralentisse les opérations. En pratique, le chiffrement fondé sur KMS pour EBS, S3 et RDS est transparent et n’a qu’un impact négligeable sur les performances.

Les applications ne nécessitent aucune modification de code : elles lisent et écrivent normalement, tandis que le service chiffre les données en arrière-plan. Vous n’avez donc aucune raison de laisser des données non chiffrées pour préserver les performances.

Vérifiez et imposez le chiffrement à l’aide des éléments suivants :

• Les règles AWS Config, telles que s3-bucket-server-side-encryption-enabled et encrypted-volumes.
• Les normes de Security Hub, qui signalent les ressources non chiffrées.

Elles détectent en continu toute ressource qui aurait été créée sans chiffrement.

Choisissez la bonne option S3.

Vous avez appris le chiffrement au repos.

• S3 propose SSE-S3, SSE-KMS et SSE-C ; les clés de compartiment réduisent le coût de KMS.
• EBS et RDS utilisent KMS ; le chiffrement est défini lors de la création et est conservé par les instantanés.
• Les règles Config et Security Hub vérifient le chiffrement partout.