Ruotare AWS KMS keys

Per creare nuovo materiale crittografico per le chiavi gestite dal cliente, puoi creare nuove chiavi KMS e modificare le applicazioni o gli alias per utilizzarle. In alternativa, puoi ruotare il materiale chiave associato a una chiave KMS esistente abilitando la rotazione automatica delle chiavi o eseguendo la rotazione su richiesta.

Per impostazione predefinita, quando abiliti la rotazione automatica delle chiavi per una chiave KMS, AWS KMS genera nuovo materiale crittografico per la chiave KMS ogni anno. Puoi anche specificare un'impostazione personalizzata rotation-period per definire il numero di giorni dopo l'attivazione della rotazione automatica delle chiavi che AWS KMS ruoterà il materiale della chiave e il numero di giorni tra ogni rotazione automatica successiva. Se è necessario avviare immediatamente la rotazione del materiale chiave, è possibile eseguire la rotazione su richiesta, indipendentemente dal fatto che la rotazione automatica dei tasti sia abilitata o meno. Le rotazioni su richiesta non modificano i programmi di rotazione automatica esistenti.

AWS KMS salva tutte le versioni precedenti del materiale crittografico in modo perpetuo in modo da poter decrittografare tutti i dati crittografati con quella chiave KMS. AWS KMS non elimina alcun materiale a chiave ruotata finché non elimini la chiave KMS. Puoi tenere traccia della rotazione del materiale chiave per le tue chiavi KMS in Amazon CloudWatch e nella AWS Key Management Service console. AWS CloudTrail Puoi anche utilizzare l'GetKeyRotationStatusoperazione per verificare se la rotazione automatica è abilitata per una chiave KMS e identificare eventuali rotazioni su richiesta in corso. È possibile utilizzare l'ListKeyRotationsoperazione per visualizzare i dettagli delle rotazioni completate.

Quando si utilizza una chiave KMS ruotata per crittografare i dati, AWS KMS utilizza il materiale chiave corrente. Quando si utilizza la chiave KMS ruotata per decrittografare il testo cifrato, AWS KMS utilizza la versione del materiale chiave utilizzato per crittografarlo. Non è possibile selezionare una versione particolare del materiale chiave per le operazioni di decrittografia, sceglie automaticamente la versione corretta. AWS KMS Poiché esegue la decrittografia AWS KMS in modo trasparente con il materiale chiave appropriato, è possibile utilizzare in sicurezza una chiave KMS ruotata nelle applicazioni e senza modifiche al codice. Servizi AWS

Tuttavia, la rotazione automatica delle chiavi non ha effetto sui dati che la chiave KMS protegge. Non ruota le chiavi di dati che la chiave KMS ha generato né crittografa nuovamente i dati protetti dalla chiave KMS e non mitiga l'effetto di una chiave di dati compromessa.

AWS KMS supporta la rotazione automatica e su richiesta delle chiavi solo per le chiavi KMS di crittografia simmetrica con materiale chiave che crea. AWS KMS La rotazione automatica è opzionale per le chiavi KMS gestite dal cliente. AWS KMS ruota sempre ogni anno il materiale chiave per le chiavi KMS AWS gestite. La rotazione delle chiavi KMS di AWS proprietà è gestita dal AWS servizio proprietario della chiave.

La rotazione della chiave modifica solo il materiale della chiave, cioè il segreto crittografico utilizzato nelle operazioni di crittografia. La chiave KMS è la stessa risorsa logica, indipendentemente dal fatto o dal numero di volte che supporta le modifiche del materiale chiave. Le proprietà della chiave KMS non vengono modificate, come illustrato nella seguente immagine.

Potresti decidere di creare una nuova chiave KMS e di utilizzarla al posto della chiave KMS originale. Lo stesso risultato si ottiene ruotando il materiale della chiave in una chiave KMS esistente, quindi questa operazione viene spesso considerata come una rotazione manuale della chiave. La rotazione manuale è un'ottima scelta quando si desidera ruotare chiavi KMS che non sono idonee alla rotazione automatica delle chiavi, incluse le chiavi KMS asimmetriche, le chiavi KMS HMAC, le chiaviKMS negli archivi chiavipersonalizzati e le chiavi KMS con materiale chiave importato.

Rotazione delle chiave e prezzi

AWS KMS addebita una tariffa mensile per la prima e la seconda rotazione del materiale chiave gestito per la chiave KMS. Questo aumento di prezzo è limitato alla seconda rotazione e le eventuali rotazioni successive non verranno fatturate. Per informazioni dettagliate, consulta Prezzi di AWS Key Management Service.

Rotazione delle chiavi e quote

Quando si calcolano le quote di risorse chiave, ogni chiave KMS conta come una chiave indipendentemente dal numero di versioni del materiale chiave ruotato.

Per informazioni più dettagliate sul materiale chiave e sulla rotazione, consultare Dettagli di crittografia di AWS Key Management Service.

Perché ruotare le chiavi KMS?

Le migliori pratiche crittografiche scoraggiano il riutilizzo estensivo delle chiavi che crittografano direttamente i dati, come le chiavi di dati che generano. AWS KMS Quando eseguono la crittografia di milioni di messaggi, le chiavi dati a 256 bit possono esaurirsi e iniziare a produrre testo criptato con trame sottili che possono essere sfruttate da abili malintenzionati per individuare i bit delle chiavi. Per evitare questo esaurimento delle chiavi, è preferibile utilizzare le chiavi di dati solo una volta o poche volte, in modo da ruotare efficacemente il materiale delle chiavi.

Tuttavia, le chiavi KMS vengono spesso utilizzate per lo più come chiavi di wrapping, note anche come chiavi di crittografia delle chiavi. Invece di crittografare i dati, le chiavi di wrapping eseguono la crittografia delle chiavi di dati che eseguono a loro volta la crittografia dei tuoi dati. Per tale motivo, vengono utilizzate molto meno spesso delle chiavi di dati e non vengono quasi mai riutilizzate abbastanza da rischiare l'esaurimento delle chiavi.

Anche se questo rischio di esaurimento è bassissimo, potrebbe essere necessario ruotare le chiavi KMS a causa di regole aziendali/contrattuali o norme governative. Quando bisogna ruotare le chiavi KMS, è consigliabile utilizzare la rotazione automatica dei tasti, laddove è supportata, e la rotazione manuale delle chiavi, qualora la rotazione automatica delle chiavi non fosse supportata.

Potresti prendere in considerazione l'esecuzione di rotazioni su richiesta per dimostrare le funzionalità chiave di rotazione dei materiali o per convalidare gli script di automazione. Si consiglia di utilizzare le rotazioni su richiesta per le rotazioni non pianificate e di utilizzare la rotazione automatica dei tasti con un periodo di rotazione personalizzato, ove possibile.

Come funziona la rotazione dei tasti

La rotazione dei tasti AWS KMS è progettata per essere trasparente e facile da usare. AWS KMS supporta la rotazione opzionale automatica e su richiesta solo per le chiavi gestite dal cliente.