Cosa sono e cosa fanno le chiavi KMS

La cifratura è solida solo quanto la protezione delle chiavi. Conservare le chiavi nel codice o nei file è rischioso e difficile da sottoporre ad audit.

AWS KMS (Key Management Service) crea, conserva e controlla le chiavi di cifratura in moduli di sicurezza hardware e associa ogni utilizzo alle autorizzazioni IAM e ai log di audit.

Una chiave KMS (precedentemente chiamata CMK, customer master key) è la rappresentazione logica di una chiave crittografica all'interno di KMS.

• Il materiale della chiave non lascia mai KMS in forma non cifrata.
• Chiedete a KMS di cifrare o decifrare; la chiave originale non viene esposta.

Questa è la base della cifratura AWS.

Le chiavi gestite dal cliente sono chiavi KMS che create e controllate completamente.

• Impostate la policy della chiave, abilitate o disabilitate la chiave e ne pianificate l'eliminazione.
• Controllate la rotazione e le concessioni.

Hanno un piccolo costo mensile, oltre agli addebiti per richiesta, e offrono il massimo controllo.

Le chiavi gestite da AWS vengono create per vostro conto da un servizio AWS e hanno nomi come aws/s3.

• AWS gestisce la relativa policy e la rotazione.
• Non potete modificare la policy della chiave né eliminarle direttamente.

Sono pratiche, ma offrono meno controllo rispetto alle chiavi gestite dal cliente.

Le chiavi di proprietà di AWS sono un pool condiviso che AWS utilizza tra molti account.

Sono invisibili nel vostro account, gratuite e interamente gestite da AWS. Non potete visualizzarle, sottoporle ad audit o controllarle, quindi sono adatte ai casi in cui non avete bisogno di vedere le chiavi.

Interagite con KMS tramite chiamate API come Encrypt, Decrypt e GenerateDataKey.

KMS esegue la crittografia lato server e restituisce il risultato. La cifratura diretta è limitata a piccole quantità di dati (fino a circa 4 KB); per quantità maggiori si usano le chiavi dati, trattate più avanti.

Ogni chiamata API a KMS viene registrata in CloudTrail.

Ottenete una traccia di audit completa che indica chi ha usato quale chiave, quando e per quale operazione. KMS è così sia un punto di controllo sia un meccanismo di responsabilizzazione, fondamentale per le indagini sugli incidenti.

Un alias è un nome descrittivo che punta a una chiave KMS, ad esempio alias/prod-db.

• Le applicazioni fanno riferimento all'alias, non all'ID della chiave.
• Potete reindirizzare un alias a una nuova chiave senza modificare il codice dell'applicazione.

Gli alias semplificano la rotazione e la gestione.

Una chiave KMS passa attraverso diversi stati: abilitata, disabilitata, in attesa di eliminazione e, per il materiale importato, in attesa di importazione.

Disabilitare una chiave ne blocca l'utilizzo senza eliminarla. L'eliminazione viene pianificata con un periodo di attesa (da 7 a 30 giorni), così potete annullarla se i dati sono ancora necessari, poiché l'eliminazione è irreversibile.

KMS è l'autorità centrale per le chiavi alla base di quasi tutta la cifratura AWS: S3, EBS, RDS, Secrets Manager e altri servizi chiamano KMS internamente.

Comprendere i tipi di chiave e il relativo controllo è essenziale, perché le domande d'esame si basano su chi gestisce e può usare una determinata chiave.

Scegliete in base alle esigenze di controllo:

• Gestite dal cliente quando vi servono controllo completo, una policy personalizzata o l'audit della rotazione.
• Gestite da AWS per una cifratura dei servizi più pratica.
• Di proprietà di AWS quando non avete alcuna necessità di visibilità.

Distinguete i tipi di chiave.

Avete imparato che cosa sono le chiavi KMS.

• Il materiale della chiave rimane all'interno di KMS; voi chiamate Encrypt/Decrypt.
• Le chiavi gestite dal cliente offrono il controllo completo; quelle gestite da AWS vengono create dai servizi; quelle di proprietà di AWS sono invisibili.
• Alias, stati delle chiavi e CloudTrail supportano una gestione sicura.