Chiavi simmetriche, asimmetriche e multi-regione

KMS supporta chiavi sia simmetriche sia asimmetriche.

• Simmetriche: una sola chiave cifra e decifra.
• Asimmetriche: una coppia di chiavi pubblica/privata.

Ognuna è adatta a esigenze diverse e scegliere correttamente è un tema ricorrente negli esami.

Le chiavi simmetriche usano una sola chiave segreta (AES-256) sia per cifrare sia per decifrare.

• Sono l'opzione predefinita e più comune in AWS.
• Quasi tutte le integrazioni con i servizi (S3, EBS, RDS) usano chiavi simmetriche.

La chiave non lascia mai KMS, quindi entrambe le parti chiamano KMS invece di condividere la chiave.

Le chiavi asimmetriche hanno una chiave pubblica che potete condividere e una chiave privata che rimane in KMS.

Supportano la cifratura/decifratura oppure la firma/verifica. Usatele quando una parte esterna ad AWS deve cifrare i dati (con la chiave pubblica) o verificare una firma senza accedere a KMS.

Scegliete le chiavi asimmetriche quando:

• I dati devono essere cifrati al di fuori di AWS, dove il chiamante dispone solo della chiave pubblica.
• Vi servono firme digitali per dimostrare l'autenticità.

Negli altri casi, le chiavi simmetriche sono più semplici e rappresentano la scelta predefinita per la cifratura dei servizi AWS.

Ogni chiave KMS ha un utilizzo della chiave (cifratura/decifratura oppure firma/verifica) e una specifica della chiave (algoritmo) impostati al momento della creazione.

Una chiave di firma non può cifrare e una chiave di cifratura non può firmare. Queste proprietà sono fisse dopo la creazione della chiave, quindi pianificate in anticipo l'utilizzo previsto.

Per le chiavi simmetriche gestite dal cliente, KMS può eseguire la rotazione automatica del materiale della chiave sottostante ogni anno.

• L'ID della chiave e l'alias rimangono invariati.
• Il materiale precedente viene conservato per decifrare i dati più vecchi.

Le chiavi asimmetriche non supportano la rotazione automatica.

Le chiavi multi-regione sono costituite da una chiave primaria e da repliche in altre regioni, che condividono lo stesso ID e materiale della chiave.

I dati cifrati in una regione possono essere decifrati dalla replica in un'altra senza una chiamata KMS tra regioni. Questo supporta le applicazioni globali e il disaster recovery.

Le chiavi Multi-Region sono adatte a scenari come:

• Disaster recovery tra regioni, quando i backup crittografati devono poter essere utilizzati in una seconda regione.
• Tabelle globali o dati replicati tra regioni.

Per i dati che rimangono in un'unica regione, una chiave standard single-region è più semplice.

KMS consente di importare il proprio materiale della chiave (BYOK) in una chiave simmetrica.

Lei controlla la generazione e la conservazione, ma perde la rotazione automatica e deve reimportare il materiale quando scade. Questo soddisfa i criteri che richiedono chiavi generate al di fuori di AWS.

Per i requisiti più stringenti, un custom key store associa le chiavi KMS a un cluster CloudHSM dedicato o a un HSM esterno.

Le operazioni sulle chiavi avvengono su hardware sotto il Suo controllo, mentre Lei continua a utilizzare la familiare API KMS. Questa opzione è riservata ai requisiti di conformità più rigorosi.

Riepilogo delle opzioni:

• Symmetric per la crittografia AWS di uso quotidiano (impostazione predefinita).
• Asymmetric per la crittografia o la firma esterne.
• Multi-Region per le esigenze tra regioni.

Abbini il tipo di chiave al flusso dei dati nello scenario.

Scelga la chiave giusta.

Ha confrontato i tipi di chiavi KMS.

• Symmetric è l'impostazione predefinita di AWS; asymmetric abilita la crittografia e la firma esterne.
• Le chiavi Multi-Region condividono il materiale tra regioni per il DR.
• La rotazione automatica si applica alle chiavi simmetriche; BYOK e gli archivi di chiavi personalizzati soddisfano esigenze rigorose.