AWS Key Management Service … Verschlüsselung leicht gemacht

Auf der re:Invent in Las Vegas hatte Amazon Web Services jüngst den neuen Key Management Service vorgestellt.

Mit dem Key Management Service (KMS) können Kunden in ihrem AWS Account pro AWS-Region eigene Customer Master Keys erstellen und diese nutzen, um damit sehr einfach EBS-Laufwerke, S3-Daten und Redshift-Datenbanken mit AES-256 zu verschlüsseln.

Nun ist der KMS ein gemanagter Service und es stellt sich die entscheidene Frage, ob AWS Zugriff auf die Customer Master Keys hat. AWS sagt aus, dass der KMS so konzipiert wurde, dass ein Zugriff von AWS Mitarbeitern auf die Keys nicht möglich ist.


Can AWS employees access my keys in AWS KMS?

AWS KMS is designed so that no one has access to your master keys. The service is built on systems that are designed to protect your master keys with extensive hardening techniques such as never storing plaintext master keys on disk, not persisting them in memory, and limiting which systems can connect to the device. All access to update software on the service is controlled by a multi-level approval process that is audited and reviewed by an independent group within Amazon.

More details about these security controls can be found in the AWS KMS Cryptographic Details whitepaper. In addition, you can request a copy of the Service Organization Controls (SOC) report available from AWS Compliance to learn more about security controls AWS uses to protect your data and master keys.

Ich persönlich bin sehr froh über diesen neuen KMS Service … warum, möchte ich wie folgt darstellen … es ist aber nur meine persönliche Meinung und stellt keinerlei Rechtsberatung dar …

Probleme  bei Speicherung personenbezogener Daten

Einige Datenschutzbeauftragte sahen in der Vergangenheit folgendes Problem bei der Speicherung von personenbezogenen Daten bei AWS:

  • AWS bietet für die AWS-Accounts Support an, der entsprechend weltweit wegen 24×7 rollierend ist.
  • AWS-Support-Mitarbeiter ausserhalb von Europa haben somit einen entsprechenden Zugriff auf AWS-Ressoucen der Kunden und könnten ggf. somit auch einen theoretischen Zugriff auf personenbezogene Daten haben.
  • AWS hatte zwar bereits in der Vergangenheit betont und auch auf Anfrage zugesichert, dass durch das entsprechende Design der Systeme dieses gar nicht nicht möglich sei, da die AWS-Support Mitarbeiter die AWS-Ressourcen nur von aussen als Infrastruktur sehen können und daher niemals Zugriff direkt auf die Daten der Kunden haben …

Key Management Service löst Datenschutzprobleme

Das alles aber war immer wieder ein Diskussionspunkt. der manche Projekte nicht gerade leichter gemacht hat … durch den Einsatz von Verschlüsselung mittels des AWS KMS wird dieses Problem nun eigentlich obsolet … so zumindest meine Hoffnung 😉

Unabhängig von dem AWS Key Management Service kann man natürlich mittels des AWS Services CloudHSM eigene dedizierte Hardware bei AWS für die Speicherung von privaten Keys anfordern, bei der AWS technisch überhaupt gar keine Möglichkeit hat, an die privaten Keys heranzukommen … das ist aber entsprechend aufwändig zu implementieren, da entsprechende 3rd-Party Software für die Verschlüsselung verwendet werden muss und damit das eine oder andere Budget gesprengt wird.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.