Crittografia di S3, EBS e RDS a riposo

La crittografia dei dati inattivi protegge i dati archiviati su disco, così i supporti o gli snapshot rubati risultano illeggibili.

I servizi di storage AWS si integrano con KMS per crittografare i dati in modo trasparente. L'applicazione vede dati normali; la crittografia avviene automaticamente al di sotto di essa.

Amazon S3 offre diverse opzioni di crittografia lato server (SSE):

• SSE-S3: chiavi gestite interamente da S3 (AES-256), ora impostazione predefinita.
• SSE-KMS: chiavi in KMS, con controllo e audit degli accessi.
• SSE-C: la chiave viene fornita da Lei a ogni richiesta.

Scelga la modalità SSE in base alle esigenze di controllo:

• SSE-KMS quando sono necessari audit e controllo dell'accesso alle chiavi tramite CloudTrail e le key policy.
• SSE-S3 per una crittografia semplice e automatica.
• SSE-C quando deve detenere personalmente le chiavi.

SSE-KMS effettua una chiamata KMS per ogni oggetto, con costi potenzialmente elevati su larga scala. Le S3 Bucket Keys riducono notevolmente questo numero.

Una data key a livello di bucket e di breve durata gestisce numerosi oggetti, riducendo le richieste KMS (e i costi) fino al 99% e mantenendo la crittografia basata su KMS.

I volumi EBS (Elastic Block Store) possono essere crittografati con KMS.

• La crittografia copre il volume, i relativi snapshot e i dati in transito tra il volume e l'istanza.
• È trasparente per l'istanza EC2 e ha un impatto trascurabile sulle prestazioni.

Non è possibile crittografare direttamente un volume EBS esistente e non crittografato. È invece necessario:

• Creare uno snapshot, copiarlo con la crittografia abilitata e creare un nuovo volume dalla copia crittografata.

L'abilitazione della crittografia EBS per impostazione predefinita a livello di account/regione impedisce la creazione di nuovi volumi non crittografati.

RDS (Relational Database Service) crittografa con KMS lo storage del database, i backup automatici, le read replica e gli snapshot.

• La crittografia deve essere impostata al momento della creazione.
• Per crittografare un'istanza esistente e non crittografata, ripristini una copia crittografata da uno snapshot.

Un punto fondamentale per l'esame: lo stato della cifratura segue gli snapshot.

• Gli snapshot di un volume o database cifrato vengono cifrati con la stessa chiave.
• Per condividere uno snapshot cifrato tra account, è necessario condividere anche la chiave KMS.

La maggior parte dei servizi di storage e database supporta la cifratura a riposo tramite KMS, tra cui:

• DynamoDB, EFS, Redshift, SQS, SNS e Secrets Manager.

Lo schema è coerente: si sceglie una chiave KMS e il servizio gestisce in modo trasparente la cifratura envelope.

Un timore comune è che la cifratura rallenti le operazioni. In pratica, la cifratura supportata da KMS su EBS, S3 e RDS è trasparente e ha un impatto trascurabile sulle prestazioni.

Le applicazioni non richiedono modifiche al codice: leggono e scrivono normalmente mentre il servizio esegue la cifratura sottostante. In questo modo viene meno qualsiasi giustificazione per lasciare i dati non cifrati per motivi di prestazioni.

Verifichi e applichi la cifratura con:

• Regole AWS Config come s3-bucket-server-side-encryption-enabled ed encrypted-volumes.
• Standard di Security Hub che segnalano le risorse non cifrate.

Questi strumenti rilevano continuamente ogni risorsa che viene creata senza cifratura.

Ha imparato a conoscere la cifratura a riposo.

• S3 offre SSE-S3, SSE-KMS e SSE-C; le bucket key riducono i costi di KMS.
• EBS e RDS usano KMS; la cifratura viene impostata al momento della creazione e segue gli snapshot.
• Le regole Config e Security Hub verificano la cifratura ovunque.