Cloud, crittografia e gestione delle chiavi secondo AWS

La diffusione del cloud ha reso sempre più fondamentale il ruolo della crittografia dei dati che, alla fine, risiedono su hardware del quale non si ha il diretto controllo. Non si tratta di scarsa fiducia in chi gestisce i sistemi cloud, ma anche di un ragionevole timore dovuto a leggi come il Cloud Act statunitense, che impone alle ditte americane di cedere i dati dei clienti - ovunque siano conservati - se il governo dovesse farne richiesta: se questi sono in forma cifrata, se anche venisse chiesto al gestore del cloud di consegnarli, rimarrebbero comunque protetti. 

La gestione chiavi secondo AWS

Secondo Antonio d’Ortenzio, Manager Solutions Architecture AWS, le aziende devono tenere a mente due punti fermi quando si approcciano alla crittografia: la protezione delle chiavi a riposo e la gestione indipendente delle chiavi. 

"Quando si utilizzano soluzioni di gestione delle chiavi da terze parti, può essere difficile valutare il rischio di perdita delle chiavi in chiaro e di utilizzo al di fuori della soluzione" - spiega il manager - "Le chiavi devono essere conservate e non sempre è possibile conoscere o controllare tutti i modi in cui i sistemi di memorizzazione sono protetti da accessi non autorizzati. La combinazione di complessità tecnica e la necessità di rendere la crittografia utilizzabile senza complicare le prestazioni o la disponibilità significa che la scelta e la gestione di una soluzione di gestione delle chiavi può presentare difficili compromessi. La migliore pratica per massimizzare la sicurezza delle chiavi è l'utilizzo di un modulo di sicurezza hardware (HSM). Si tratta di un dispositivo informatico specializzato che ha diversi controlli di sicurezza incorporati per evitare che le chiavi di cifratura escano dal dispositivo. Uno di questi controlli negli HSM moderni è la resistenza alla manomissione, in cui il dispositivo rileva i tentativi fisici o logici di accedere alle chiavi in chiaro senza autorizzazione, e distrugge le chiavi prima che l'attacco abbia successo. Le organizzazioni dovrebbero cercare fornitori di servizi cloud che gestiscano una flotta di HSM per loro conto o che forniscano alle organizzazioni la possibilità di gestire i propri HSM per garantire la possibilità di importare le chiavi dai sistemi on-premises al cloud".

D'Ortenzio suggerisce inoltre di adottare l'envelope encryption, cioè di cifrare le chiavi crittografiche stesse, così da aggiungere un'ulteriore strato di sicurezza. Un altro aspetto su cui insiste il manager di AWS è quello relativo alla gestione delle chiavi: chi ha accesso ai dati criptati non dovrebbe avere la possibilità di decifrarli se non dopo aver ottenuto uno specifico permesso. Separando questi due compiti, risulterà infatti più difficile che un errore umano porti persone non autorizzate ad avere accesso agli strumenti per decifrare le informazioni. 

"Qualsiasi fornitore di servizi cloud (CSP) che gestisce i dati in chiaro di un'organizzazione dovrebbe offrire funzionalità di crittografia dei dati in movimento e a riposo" - prosegue d'Ortenzio - "Il CSP deve proteggere le chiavi in chiaro negli HSM e fornire la possibilità di gestire i permessi sulle chiavi indipendentemente dai permessi sui dati. Come spiegato sopra, le organizzazioni dovrebbero cercare fornitori che offrano strumenti di audit per rilevare quando vengono apportate modifiche ai permessi sulle chiavi che potrebbero consentire un'escalation dei privilegi".

Protocolli di cifratura e usabilità: la soluzione s2n di AWS

Secondo d'Ortenzio, uno dei principali problemi relativi alla crittografia è l'adozione di OpenSSL,  che si basa su un codice enorme e particolarmente complesso da controllare, tanto che ogni piccolo intervento - per esempio la correzione dei bug - richiede un lavoro enorme alla comunità di sviluppatori, che devono assicurarsi che non siano compromesse la sicurezza e le prestazioni dell'architettura. 

AWS mira a superare il problema con la sua soluzione Open Source s2n (signal to noise), concepita fin dall'inizio per essere snella e semplice da mantenere. "s2n viene utilizzato nei servizi AWS sugli endpoint API che terminano le connessioni TLS" - spiega d'Ortenzio - "TLS utilizza la crittografia asimmetrica e chiavi che includono certificati digitali che provano la proprietà di tali chiavi. Questo permette agli utenti finali di avere la certezza che l'endpoint a cui inviano i dati criptati sia sotto il controllo della corretta identità. La gestione dei certificati digitali è un altro esempio di gestione delle chiavi che richiede una forte protezione delle chiavi in chiaro e controlli indipendenti dei permessi. I clienti dovrebbero rivolgersi a CSP che offrono servizi che semplificano l'emissione e la rotazione dei certificati digitali per garantire che gli utenti finali possano fidarsi di loro".