O serviço AWS CloudHSM fornece HSM validados para os Padrões Federais de Processamento de Informações que geralmente é necessário se você estiver usando o CloudHSM para assinar documentos

O CloudHSM é um serviço de classe empresarial usado para gerenciamento e armazenamento seguros de chaves de criptografia que pode ser usado como uma raiz de confiança para uma empresa quando se trata de proteção de dados, permitindo implantar cargas de trabalho seguras e compatíveis na AWS.

HSM significa Módulo de Segurança de Hardware, mas o que é um módulo de segurança de hardware? É um dispositivo de hardware físico resistente a violações usado para proteger materiais criptográficos e chaves de criptografia.

O CloudHSM está em conformidade com as normas do setor e permite exportar todas as chaves para a maioria dos outros HSMs disponíveis no mercado, dependendo das suas configurações. Ele é um serviço gerenciado que automatiza para você tarefas administrativas demoradas, como provisionamento de hardware, aplicação de patches de software, alta disponibilidade e backups. O CloudHSM também permite que você ajuste a escala rapidamente ao adicionar e remover capacidade HSM sob demanda, sem custos antecipados.

O que é AWS CloudHSM, é um serviço de segurança oferecido pela AWS que permite gerar e usar suas próprias chaves de criptografia para proteger seus dados por meio de criptografia. Existem várias operações diferentes que o CloudHSM pode ajudá-lo a fornecer, incluindo:

• A criação, armazenamento e gerenciamento de chaves criptográficas, permitindo importar e exportar chaves assimétricas e simétricas.
• A capacidade de usar funções de hash criptográficas para permitir calcular resumos de mensagens e códigos de autenticação de mensagens baseados em hash, também conhecidos como HMACs.
• Assinatura de dados criptográficos e verificação de assinatura.
• Usando algoritmos de criptografia assimétrica e simétrica.
• E a capacidade de gerar dados aleatórios criptograficamente seguros.

Chaves de criptografia simétricas e assimétricas

A criptografia assimétrica envolve duas chaves separadas. Um é usado para criptografar os dados e uma chave separada é usada para descriptografar os dados. Essas chaves são criadas ao mesmo tempo e são vinculadas por meio de um algoritmo matemático. Uma chave é considerada a chave privada e deve ser mantida por uma única parte e nunca deve ser compartilhada com mais ninguém. A outra chave é considerada a chave pública e essa chave pode ser fornecida e compartilhada com qualquer pessoa. Não importa quem tem acesso a essa chave pública, pois sem a chave privada, nenhum dado criptografado com ela não pode ser acessado. As chaves públicas e privadas são necessárias para descriptografar os dados quando a criptografia assimétrica está sendo usada. 

Se outra parte quisesse enviar uma mensagem ou dados criptografados, eles criptografariam a mensagem usando sua própria chave pública, que pode ser disponibilizada gratuitamente a eles ou a qualquer pessoa. A mensagem é então enviada a você, onde você usará sua própria chave privada, que possui esse relacionamento matemático com sua chave pública para descriptografar os dados. Isso permite que você envie dados criptografados para qualquer pessoa sem o risco de expor sua chave privada.

Com criptografia simétrica, uma única chave é usada para criptografar e também descriptografar os dados. Por exemplo, se alguém estivesse usando um método de criptografia simétrica, criptografaria os dados com uma chave e, quando a mesma pessoa precisasse acessar esses dados, usaria a mesma chave usada para criptografar os dados para descriptografar os dados. Como resultado, essa chave deve ser enviada com segurança entre as duas partes e aqui expõe uma fraqueza nesse método. Se a chave for interceptada por alguém durante essa transmissão, esse terceiro poderá descriptografar facilmente quaisquer dados associados a essa chave.

O AWS CloudHSM aceita a autenticação de quórum para funções essenciais administrativas e de gerenciamento. O CloudHSM também aceita Multi-Factor Authentication (MFA) usando tokens que você mesmo disponibiliza.

Projetado para oferecer segurança e alta disponibilidade

O AWS CloudHSM é executado na sua própria Amazon Virtual Private Cloud (VPC), o que permite usar de modo fácil os HSMs com aplicativos que rodam nas instâncias do Amazon EC2. Com o CloudHSM, é possível usar controles de segurança padrão da VPC para gerenciar o acesso aos HSMs. Os aplicativos conectam-se ao HSMs usando canais SSL mutuamente autenticados e estabelecidos pelo software cliente do HSM. Como os HSMs estão localizados nos datacenters da Amazon perto das instâncias do EC2, é possível reduzir a latência da rede entre os aplicativos e os HSMs, o que não é possível fazer da mesma maneira usando HSMs locais.

Separação de responsabilidades

A separação de responsabilidades e o controle de acesso baseado em funções são inerentes ao projeto do AWS CloudHSM. A AWS monitora a integridade e a disponibilidade de rede dos HSMs, mas não se envolve na criação e no gerenciamento do material de chaves armazenado dentro dos HSMs. Você controla os HSMs, bem como a geração e o uso das chaves de criptografia.

O AWS CloudHSM faz automaticamente o balanceamento de carga de solicitações e duplica com segurança as chaves armazenadas em qualquer HSM para todos os outros HSMs no cluster. Isso oferece capacidade de criptografia adicional e melhora a resiliência das chaves. Com o armazenamento de várias cópias de suas chaves em HSMs localizados em AZs diferentes, suas chaves estarão disponíveis e protegidas em caso de indisponibilidade de um único HSM. O uso de pelo menos dois HSMs em várias AZs é a configuração recomendada pela Amazon para obter disponibilidade e resiliência.

Preços

O cliente AWS CloudHSM faz o balanceamento de carga de solicitações e replica com segurança o material de chaves entre os HSMs associados no cluster.

Consulte o preço na pagina oficial da AWS no link AWS CloudHSM.