Chaves Simétricas, Assimétricas e Multirregionais

O KMS oferece suporte a chaves s●imétricas e assimétricas.

• Simétricas: uma única chave criptografa e descriptografa.
• Assimétricas: um par de chaves pública e privada.

Cada tipo atende a necessidades diferentes, e escolher corretamente é um tema comum nas provas.

As chaves simétricas usam uma única chave secreta (AES-256) para criptografar e descriptografar.

• Elas são a opção padrão e a mais comum na AWS.
• Quase todas as integrações de serviços (S3, EBS, RDS) usam chaves simétricas.

A chave nunca sai do KMS, portanto ambas as partes chamam o KMS em vez de compartilhar a chave.

As chaves assimétricas têm uma chave pública, que pode ser compartilhada, e uma chave privada, que permanece no KMS.

Elas permitem criptografia/descriptografia ou assinatura/verificação. Use-as quando uma parte fora da AWS precisar criptografar dados (com a chave pública) ou verificar uma assinatura sem acesso ao KMS.

Escolha chaves assimétricas quando:

• Os dados precisarem ser criptografados fora da AWS, onde o chamador tiver apenas a chave pública.
• Você precisar de assinaturas digitais para comprovar a autenticidade.

Fora desses casos, as chaves simétricas são mais simples e constituem a opção padrão para a criptografia de serviços da AWS.

Cada chave do KMS tem um uso da chave (criptografar/descriptografar ou assinar/verificar) e uma especificação da chave (algoritmo), definidos no momento da criação.

Uma chave de assinatura não pode criptografar, e uma chave de criptografia não pode assinar. Essas propriedades são fixas depois que a chave é criada, portanto planeje antecipadamente o uso pretendido.

Para chaves simétricas gerenciadas pelo cliente, o KMS pode executar a rotação automática do material subjacente da chave todos os anos.

• O ID e o alias da chave permanecem os mesmos.
• O material antigo é mantido para descriptografar dados antigos.

Chaves assimétricas não oferecem suporte à rotação automática.

As chaves multirregionais consistem em uma chave primária e réplicas em outras regiões, que compartilham o mesmo ID e material de chave.

Os dados criptografados em uma região podem ser descriptografados pela réplica em outra sem uma chamada do KMS entre regiões. Isso oferece suporte a aplicações globais e à recuperação de desastres.

As chaves multirregionais são adequadas para cenários como:

• Recuperação de desastres entre regiões, em que os backups criptografados precisam ser utilizáveis em uma segunda região.
• Tabelas globais ou dados replicados entre regiões.

Para dados que permanecem em uma única região, uma chave padrão de região única é mais simples.

O KMS permite importar seu próprio material de chave (BYOK) para uma chave simétrica.

Você controla a geração e a retenção, mas perde a rotação automática e precisa importar novamente o material quando ele expirar. Isso atende a políticas que exigem chaves geradas fora da AWS.

Para os requisitos mais rigorosos, um armazenamento de chaves personalizado mantém as chaves do KMS protegidas por um cluster dedicado do CloudHSM ou por um HSM externo.

As operações de chave acontecem em um hardware que você controla, enquanto você continua usando a conhecida API do KMS. Essa opção é reservada para exigências rigorosas de conformidade.

Resumo das opções:

• Simétrica para a criptografia cotidiana na AWS (padrão).
• Assimétrica para criptografia externa ou assinatura.
• Multirregional para necessidades entre regiões.

Associe o tipo de chave ao fluxo de dados do cenário.

Escolha a chave certa.

Você comparou os tipos de chave do KMS.

• Simétrica é o padrão da AWS; assimétrica permite criptografia externa e assinatura.
• As chaves multirregionais compartilham material entre regiões para DR.
• A rotação automática se aplica às chaves simétricas; BYOK e os armazenamentos de chaves personalizados atendem a necessidades rigorosas.