Sicurezza dell'infrastruttura nell'AWS Key Management Service

In qualità di servizio gestito, AWS Key Management Service (AWS KMS) è protetto dalle procedure di sicurezza di rete globali di AWS descritte nel whitepaper Panoramica delle procedure di sicurezza di Amazon Web Services.

Per accedere a AWS KMS tramite la rete, puoi richiamare le operazioni dell'API AWS KMS descritte nella Documentazione di riferimento dell'API AWS Key Management Service. AWS KMS richiede l'utilizzo di TLS 1.2 e suggerisce l'utilizzo di TLS 1.3 in tutte le regioni. AWS KMS supporta anche TLS ibrido post-quantistico per gli endpoint del servizio AWS KMS in tutte le regioni, ad eccezione delle regioni cinesi. AWS KMS non supporta il protocollo TLS post-quantistico ibrido per gli endpoint FIPS in AWS GovCloud (US). Per utilizzare endpoint standard AWS KMS o endpoint FIPS AWS KMS, i client devono supportare TLS 1.2 o versioni successive. I client devono, inoltre, supportare le suite di crittografia con PFS (Perfect Forward Secrecy), ad esempio Ephemeral Diffie-Hellman (DHE) o Elliptic Curve Ephemeral Diffie-Hellman (ECDHE). La maggior parte dei sistemi moderni come Java 7 e versioni successive, supporta tali modalità.

Inoltre, le richieste devono essere firmate utilizzando un chiave di accesso ID e una chiave di accesso segreta associata a un account principale IAM. O puoi utilizzare AWS Security Token Service (AWS STS) per generare credenziali di sicurezza temporanee per sottoscrivere le richieste.

Puoi chiamare queste operazioni API da qualsiasi percorso di rete, ma AWS KMS supporta le condizioni delle policy globali che consentono di controllare l'accesso a una chiave KMS in base all'indirizzo IP di origine, al VPC e all'endpoint VPC. È possibile utilizzare le chiavi di condizione globali nelle policy delle chiavi e nelle policy IAM. Tuttavia, queste condizioni possono impedire ad AWS l'utilizzo della chiave KMS per tuo conto. Per informazioni dettagliate, vedi AWS chiavi di condizione globali.

Ad esempio, l'istruzione della policy chiave seguente consente agli utenti che possono assumere il ruolo KMSTestRole di utilizzare questa AWS KMS key per le operazioni di crittografia specificate, a meno che l'indirizzo IP di origine non sia uno degli indirizzi IP specificati nella policy.

{
  "Version": "2012-10-17",
  "Statement": {
    "Effect": "Allow",
    "Principal": {"AWS":
    "arn:aws:iam::111122223333:role/KMSTestRole"},
    "Action": [
      "kms:Encrypt",
      "kms:Decrypt",
      "kms:ReEncrypt*",
      "kms:GenerateDataKey*",
      "kms:DescribeKey"
    ],
    "Resource": "*",
    "Condition": {
      "NotIpAddress": {
        "aws:SourceIp": [
          "192.0.2.0/24",
          "203.0.113.0/24"
        ]
      }
    }
  }
}  

Isolamento di host fisici

La sicurezza dell'infrastruttura fisica utilizzata da AWS KMS è soggetta ai controlli descritti nella sezione Sicurezza fisica e ambientale del whitepaper Panoramica delle procedure di sicurezza di Amazon Web Services. Puoi trovare altri dettagli nei report di conformità e nei risultati degli audit di terze parti elencati nella sezione precedente.

AWS KMS è supportato dai moduli HSM (Hardened Hardware Security Module) dedicati progettati con controlli specifici per resistere agli attacchi fisici. I moduli HSM sono dispositivi fisici che non dispongono di un livello di virtualizzazione, ad esempio un hypervisor, che condivide il dispositivo fisico tra diversi tenant logici. Il materiale chiave per le AWS KMS keys viene archiviato solo nella memoria volatile sui moduli HSM e solo quando la chiave KMS è in uso. Questa memoria viene cancellata quando il modulo HSM non è in stato operativo, inclusi arresti e ripristini previsti e non intenzionali. Per informazioni dettagliate sull'operazione dei moduli HSM AWS KMS, consulta i Dettagli crittografici di AWS Key Management Service..