Comment améliorer la sécurité de vos clés de chiffrement sur AWS avec CloudHSM ? Par Aurélien Maury

Slide 1

Slide 1 text

Comment améliorer la sécurité de vos clés de chiﬀrement sur AWS avec CloudHSM ?

Slide 2

Slide 2 text

Public Cloud as a DevOps accelerator

Slide 3

Slide 3 text

Je m’appelle... Aurélien Maury

Slide 4

Slide 4 text

Je travaille chez...

Slide 5

Slide 5 text

En tant que... CTO

Slide 6

Slide 6 text

J’ai accompagné...

Slide 7

Slide 7 text

On va parler de : AWS Cloud HSM

Slide 8

Slide 8 text

Agenda ● Concepts ● Service ● Mise en oeuvre ● Automatisation AWS Cloud HSM

Slide 9

Slide 9 text

Concepts

Slide 10

Slide 10 text

C’est quoi un HSM ?

Slide 11

Slide 11 text

appareil considéré comme inviolable oﬀrant des fonctions cryptographiques. [...] matériel électronique oﬀrant un service de sécurité qui consiste à générer, stocker et protéger des clefs cryptographiques. Titre de la présentation “ “ cf : https://fr.wikipedia.org/wiki/Hardware_Security_Module

Slide 12

Slide 12 text

Service

Slide 13

Slide 13 text

En direct de la vitrine AWS Cloud HSM ● HSM inviolable ● Infrastructure gérée par AWS ● Scalabilité ● Pas de lock-in sur la gestion de vos clés

Slide 14

Slide 14 text

En direct de la vitrine AWS Cloud HSM ● API aux normes du secteur ○ PKCS#11 ○ Java Cryptography Extensions (JCE) ○ Microsoft CryptoNG (CNG). ● Authentiﬁcation sécurisée (utilisateurs et MFA gérés par vous) ● Intégration KMS pour faciliter l’utilisation

Slide 15

Slide 15 text

Conformité AWS Cloud HSM

Slide 16

Slide 16 text

Cas d’utilisation AWS Cloud HSM ● Besoin de maîtrise du stockage de ses clés privées ● Déchargement des opérations TLS

Slide 17

Slide 17 text

Performances Opération Statistique connexion/vériﬁcation RSA 2048 octets 1100 /s Génération de clé RSA 2048 octets 500 ms Génération de nombre aléatoire (CSPRNG) 20 Mo/s AES 256 300 Mo/s chiﬀrement par lot en duplex intégral AWS Cloud HSM

Slide 18

Slide 18 text

Capacité AWS Cloud HSM ● Environ 3300 clés

Slide 19

Slide 19 text

Limites AWS Cloud HSM ● Lié à un VPC ● Un cluster peut contenir entre 0 et 32 HSM ● Tout cluster confondu, un compte peut avoir jusqu’à 28 HSM...

Slide 20

Slide 20 text

Tarification Région Par heure pour 1 HSM Par mois pour 2 HSM Paris 2.18 $ 3139.2 $ Irlande 1.47 $ 2116.8 $ Francfort 1.92 $ 2764.8 $ Londres 1.59 $ 2289.6 $ Stockholm 1.40 $ 2016 $ AWS Cloud HSM

Slide 21

Slide 21 text

Intégration KMS AWS Cloud HSM ● API unique de la Dev à la Prod ● Hardware mutualisé Hors Prod ● Hardware dédié en Prod ● Grosses économies

Slide 22

Slide 22 text

Mise en oeuvre

Slide 23

Slide 23 text

Limites AWS Cloud HSM Recette locale

Slide 24

Slide 24 text

Les ingrédients ● 1 VPC ● au moins 2 subnets (AZ diﬀérentes) ● Un cluster Cloud HSM ● Autant de HSM que désiré ● Un KMS Custom Key Store

Slide 25

Slide 25 text

Création d’un espace réseau AWS Cloud HSM VPC private subnet a private subnet b

Slide 26

Slide 26 text

Création du cluster et du premier HSM AWS Cloud HSM VPC private subnet a private subnet b HSM cluster HSM 1

Slide 27

Slide 27 text

Vériﬁcation de l’identité des HSM AWS Cloud HSM Manufacturer Root AWS Root AWS Hardware Manufacturer Hardware Get & verify

Slide 28

Slide 28 text

Signer le cluster AWS Cloud HSM HSM Cluster Sign CA

Slide 29

Slide 29 text

Renvoyer le certiﬁcat signé à AWS AWS Cloud HSM ACHIEVEMENT UNLOCKED CLUSTER INITIALISÉ

Slide 30

Slide 30 text

Créer une instance de conﬁguration AWS Cloud HSM VPC private subnet a private subnet b HSM cluster HSM 1 SSH HSM CLI

Slide 31

Slide 31 text

Changer le password par défaut AWS Cloud HSM ACHIEVEMENT UNLOCKED CLUSTER ACTIVÉ

Slide 32

Slide 32 text

Créer un utilisateur “kmsuser” AWS Cloud HSM ACHIEVEMENT UNLOCKED INTÉGRATION KMS POSSIBLE

Slide 33

Slide 33 text

Nettoyage AWS Cloud HSM VPC private subnet a private subnet b HSM cluster HSM 1 KMS CKS

Slide 34

Slide 34 text

Création d’un KMS Custom Keystore AWS Cloud HSM VPC private subnet a private subnet b HSM cluster HSM 1 KMS CKS SSH

Slide 35

Slide 35 text

Création d’un KMS Custom Keystore AWS Cloud HSM ACHIEVEMENT UNLOCKED INTÉGRATION KMS EFFECTIVE

Slide 36

Slide 36 text

Redondance AWS Cloud HSM VPC private subnet a private subnet b HSM cluster HSM 1 HSM 2 KMS CKS

Slide 37

Slide 37 text

Ligne d’arrivée AWS Cloud HSM ACHIEVEMENT UNLOCKED FAULT-TOLERANT HSM BACKED KMS

Slide 38

Slide 38 text

BONUS pour externes AWS Cloud HSM ACHIEVEMENT UNLOCKED OPS-FRIENDLY CEREMONIAL ● Création d’une machine dans un VPC dédié ● Installation des outils nécessaires ● Synchronisation du workspace ● Guidage audio pour la cérémonie d’initialisation

Slide 39

Slide 39 text

Automatisation

Slide 40

Slide 40 text

Toolkit AWS Cloud HSM https://gitlab.com/wescalefr-oss/aws-cloudhsm-builder

Slide 41

Slide 41 text

Terraform AWS Cloud HSM ● Pour la création de ressources AWS ○ Création de l’espace réseau ○ Création du cluster ○ Création de l’instance de configuration ○ Scale out des HSM ● Découpage en stack distinctes mais interdépendantes ● Réversibilité offerte by-design ● À enrichir au fil des évolutions de support de certaines ressources

Slide 42

Slide 42 text

AWS CLI AWS Cloud HSM ● Pour toutes les opérations sur les ressources créées ● Pour tout ce qui n’est pas encore couvert par Terraform ○ Ressources KMS liées à un CKS ● Standard AWS, inutile à recoder

Slide 43

Slide 43 text

Ansible AWS Cloud HSM ● Orchestration des actions : ○ Terraform ○ AWS CLI ○ SSH vers l’instance de conﬁguration ● Moteur de variable ● Moteur de templating

Slide 44

Slide 44 text

The Truth is in The Code AWS Cloud HSM

Slide 45

Slide 45 text

Durée de la cérémonie AWS Cloud HSM ● make hsm-create - 12 minutes ● make hsm-conﬁgure - 7 minutes ● make hsm-upscale - 6 minutes ● make kms-create-ks - 4 secondes... (+ 20 minutes d’attente) Soit environ 50 minutes pour tout mettre en place.

Slide 46

Slide 46 text

Titre de la présentation 23 rue Taitbout 75009 Paris www.wescale.fr | blog.wescale.fr Ressources https://docs.aws.amazon.com/fr_fr/cloudhsm/latest/userguide/introduction.html https://gitlab.com/wescalefr-oss/aws-cloudhsm-builder

Slide 47

Slide 47 text

Titre de la présentation Questions ?

Slide 48

Slide 48 text

Titre de la présentation 23 rue Taitbout 75009 Paris www.wescale.fr | blog.wescale.fr Aurélien Maury Directeur Technique aurelien.maury@wescale.fr Merci de votre attention