How to configure key rotation for KMS keys. - Key Management Service: Central de Documentação do Alibaba Cloud

O Key Management Service (KMS) oferece um recurso de rotação de chaves que permite alterná-las periodicamente para aumentar a segurança das suas chaves e dos dados de negócio. Este tópico descreve como a rotação de chaves funciona e como configurá-la.

Por que rotacionar chaves

Reduzir a quantidade de dados criptografados por uma única versão de chave para diminuir o risco de ataques de criptoanálise.

Isso se refere ao número total de bytes criptografados por uma única versão de chave. Ao rotacionar as chaves periodicamente, você reduz a superfície de ataque de criptoanálise para cada versão de chave, tornando seu esquema de criptografia mais seguro no geral.
Preparar-se para responder a incidentes de segurança.

Incorporar a rotação de chaves ao design e à implementação do seu sistema faz com que ela se torne uma tarefa rotineira de gerenciamento de segurança, mantendo-o sempre preparado para responder a incidentes.
Reduzir a janela de tempo em que uma chave pode ser comprometida.

Se você recriptografa os dados com novas chaves após cada rotação, o período de rotação passa a ser a janela de tempo em que uma chave pode ser comprometida. Isso significa que um invasor precisa quebrar a chave antes da próxima rotação para acessar os dados. Essa prática é altamente eficaz na proteção de dados contra ataques de criptoanálise.
Atender a requisitos de conformidade.

A rotação periódica de chaves ajuda as organizações a cumprir diversos requisitos de conformidade. Entre os padrões que exigem rotação de chaves, destacam-se:
- Payment Card Industry Data Security Standard (PCI DSS).
- Padrões setoriais de criptografia emitidos pela China State Cryptography Administration, como GM/T 0051-2016 Cryptographic Device Management - Symmetric Key Management Technical Specification.
- Padrões de criptografia emitidos pelo U.S. National Institute of Standards and Technology (NIST), como NIST Special Publication 800-57 Recommendation for Key Management.

Como funciona a rotação de chaves

Uma chave pode ter múltiplas versões. As versões de uma chave são criptograficamente independentes entre si. O KMS rotaciona uma chave criando uma nova versão e sempre utiliza a versão mais recente para operações criptográficas. Não é possível especificar qual versão de chave usar.

Importante

A rotação de chave cria uma nova versão, mas não altera o ID da chave, o ARN, o alias nem outras propriedades da chave.
O KMS exclui uma versão de chave somente quando a chave à qual ela pertence é excluída.
A rotação de chaves não afeta chamadas de cloud service nem de SDK.

Ao criar uma chave, o KMS gera uma versão inicial e a define como versão primária. Após a rotação, o KMS gera uma nova versão e a define como a nova versão primária. A figura a seguir ilustra esse processo.

Se você configurar a rotação automática periódica, o próximo horário de rotação será calculado pela seguinte fórmula: Próximo horário de rotação = Último horário de rotação + Período de rotação.

Nota

Chame a operação DescribeKey. Na resposta, o campo LastRotationDate indica o último horário de rotação, e o campo NextRotationDate indica o horário programado para a próxima rotação.
Caso uma chave esteja configurada para rotação automática periódica e você execute uma rotação manual imediata entre as rotações programadas, o horário da rotação manual passa a ser o último horário de rotação utilizado para calcular o próximo horário de rotação.

Notas de uso

Tipo de chave e source do material de chave

Tipo de chave	Source do material de chave	Rotação automática periódica	Rotação manual imediata
Chave de software (simétrica)	Key Management Service	Supported	Supported
Chave de software (simétrica)	External (Import Key Material)	Not supported	Supported
Chave de software (assimétrica)	Key Management Service, External (Import Key Material)	Not supported
Chave de hardware (simétrica e assimétrica)	Key Management Service
Chave de hardware (simétrica e assimétrica)	External (Import Key Material)

Status da chave: a chave deve estar no estado Enabled.

Se a chave estiver no estado Disabled ou Pending Deletion, o KMS pausa a rotação de chaves. A rotação é retomada quando a chave é reativada.
Condições adicionais para chaves específicas:

Para uma chave padrão, é necessário adquirir um service de valor agregado separado para rotação de chaves.

Configurar a rotação de chaves padrão

Faturamento

O KMS fornece chaves padrão sem custo para criptografia no lado do servidor por cloud services. No entanto, a rotação de chaves padrão é um service de valor agregado.

Tarifa: USD 9 por ano por região. Após adquirir o service, todas as chaves padrão — incluindo chaves de service e chaves mestras de cliente (CMKs) — na região especificada ficam habilitadas para rotação.

Método e cronograma de rotação

Somente a rotação automática periódica é suportada. A rotação manual imediata não é suportada.

O período de rotação é de 365 dias e não pode ser alterado. Após ativar a rotação, a primeira execução ocorre 365 dias após a criação da versão da chave. As rotações subsequentes ocorrem a cada 365 dias.

Nota

O service de valor agregado para rotação de chaves é uma assinatura anual. Para garantir que a próxima rotação seja realizada conforme o cronograma, certifique-se de que sua assinatura esteja ativa.

Ativar a rotação automática periódica

Adquira o service de valor agregado para rotação de chaves.
1. Faça logon no console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha Resources > Keys.
2. Na aba Default Keys, clique em Buy Key Rotation e configure os parâmetros.
  1. Instance type: selecione Value-added Plan.
  2. Value-added plan: selecione Default key rotation.
  3. Region: selecione a região onde a chave padrão está localizada.
  4. Purchase quantity: adquira apenas um conjunto por região.
3. Leia atentamente o Service Agreement, clique em Buy Now e, em seguida, clique em Purchase Rotation Service para concluir a compra.
Ative a rotação de chaves.
- Chave de service
  
  Nenhuma configuração é necessária. O KMS ativa a rotação automaticamente.
- Chave mestra de cliente (CMK)
  Using the console
  1. Na aba Default Keys da página Keys, clique em o ID da CMK.
  2. Na parte inferior da página de detalhes, clique em a aba Key Version e, em seguida, clique em Configure Rotation.
  3. Na caixa de diálogo Configure Rotation, ative o interruptor Rotation Status e clique em OK. Na página de detalhes da chave, o Rotation Status muda para Enabled, e o Rotation Period é exibido em Days.
  Using an API
  - Ative a rotação ao criar a chave.
    
    Chame a operação CreateKey e defina os parâmetros EnableAutomaticRotation e RotationInterval.
  - Ative a rotação após criar a chave.
    
    Chame a operação UpdateRotationPolicy e defina os parâmetros EnableAutomaticRotation e RotationInterval.

Uso de chaves rotacionadas

A chave padrão pode ser usada apenas para criptografia no lado do servidor em cloud products. Após ativar a rotação, os cloud products gerenciam a chave automaticamente, sem necessidade de operações manuais. Para mais informações, consulte Overview of integrating cloud products with KMS.

Visualizar detalhes da rotação

Using the console

Na aba Default Keys da página Keys, localize a chave de service ou a chave mestra de cliente (CMK) desejada.
Clique em o ID da chave. Na página de detalhes, visualize o Rotation Status, o Rotation Period e a Key Version.

Using the API

Chame a operação DescribeKey e verifique os parâmetros AutomaticRotation e RotationInterval retornados.
Chame a operação ListKeyVersions e verifique o parâmetro KeyVersions retornado.

Definir a rotação de chaves para uma instância do KMS

Consumo de cota

A rotação consome a cota de chaves de uma instância do KMS. Cada versão de chave consome uma unidade de cota. Por exemplo, se uma chave possui três versões (V1, V2 e V3), ela consome três cotas de chave. Para mais informações, consulte Upgrade a KMS instance.
O KMS não permite excluir uma única versão histórica de chave. Se a cota for insuficiente, libere cota desativando e excluindo chaves que não são mais utilizadas. Siga os passos abaixo para identificar chaves ociosas.
1. Na página de detalhes da chave, clique em a aba Key Association e, em seguida, clique em Association Detection para verificar como a chave é usada por cloud services e o horário da última invocação.
  
  Nota
  O Association Detection atualmente suporta ECS e MSE, e exibe apenas registros dos últimos 365 dias. Para chaves usadas por aplicações autogerenciadas, verifique os logs do seu negócio para determinar se a chave ainda está em uso.
2. Para limpar chaves não utilizadas, siga os passos abaixo:
  1. Confirme o tipo de chave. Chaves de service (aliases que contêm acs/) não podem ser excluídas.
  2. Desative a chave mestra de cliente e confirme que nenhum negócio foi afetado.
  3. Agende a exclusão da chave e defina um período de pendência (de 7 a 366 dias). É possível cancelar a exclusão dentro desse período.
  Aviso
  Após a exclusão de uma chave, todos os dados criptografados com ela — incluindo dados criptografados com suas versões históricas — nunca poderão ser descriptografados. Recomenda-se desativar a chave primeiro e observar durante um período para confirmar a ausência de impacto antes de excluí-la.

Métodos e datas de rotação

São suportadas tanto a rotação automática periódica quanto a rotação manual imediata.

Rotação automática periódica: uma nova versão de chave é gerada periodicamente com base em um período de rotação personalizado de 7 a 365 dias.
Rotação manual imediata: uma nova versão de chave é gerada imediatamente.

Ativar a rotação

Ativar a rotação automática periódica
Using the console
- Ative a rotação ao criar a chave. Para mais informações, consulte Manage keys.
  1. Na aba Customer Master Keys da página Keys, selecione um ID de instância do KMS e clique em Create Key.
  2. No painel Create Key, configure os parâmetros, ative Automatic Rotation e defina o Rotation Period. Em seguida, clique em OK.
- Se a rotação não foi ativada ao criar a chave, ative-a posteriormente.
  1. Na aba Customer Master Keys da página Keys, selecione um ID de instância do KMS e clique em o ID da chave de destino.
  2. Na seção Key Version da página de detalhes da chave, clique em Configure Rotation. Na caixa de diálogo Configure Rotation Policy, ative a rotação automática periódica, defina o período de rotação e clique em OK.
Using an API
- Ative a rotação ao criar a chave.
  
  Chame a operação CreateKey e defina os parâmetros EnableAutomaticRotation e RotationInterval.
- Ative a rotação após criar a chave.
  
  Chame a operação UpdateRotationPolicy e defina os parâmetros EnableAutomaticRotation e RotationInterval.
Rotação manual imediata
- Chaves com material de chave gerado pelo KMS.
  Using the console
  1. Na aba Customer Master Keys da página Keys, selecione um ID de instância do KMS e clique em o ID da chave de destino.
  2. Na seção Key Version da página de detalhes da chave, clique em Configure Rotation. Na caixa de diálogo Configure Rotation Policy, selecione Rotate Now e clique em OK.
  Using an API
  
  Chame a operação CreateKeyVersion.
- Bring Your Own Keys (BYOKs) com material de chave importado.
  1. Importar novo material de chave
    1. Faça logon no console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha Resources > Keys.
    2. Na aba Keys, selecione um ID de instância do KMS e clique em Details na coluna Actions da chave de destino.
    3. Na aba Key Material and Version, clique em Import New Key Material no canto superior esquerdo. Importe o material de chave. Para mais informações, consulte Import symmetric key material.
    4. Após a importação do novo material de chave, uma nova versão de chave é gerada. Você pode visualizá-la na lista de versões de chave. O status é "Pending Rotation".
      
      Importante
      Não é possível importar uma nova versão antes de a versão atual ser rotacionada.
  2. Executar a rotação
    1. Na coluna Actions da versão de chave gerada no Passo 1, clique em Rotate.
    2. Na caixa de diálogo Rotate Now, confirme que o ID do material de chave está correto e clique em OK.

Usar chaves rotacionadas

Ao utilizar chaves para criptografia no lado do servidor de cloud products, os produtos gerenciam as chaves automaticamente após você ativar a rotação. Nenhuma operação manual é necessária. Ao utilizar chaves para criptografar dados em aplicações autogerenciadas, chame as seguintes operações de API para operações criptográficas. Por padrão, essas operações utilizam a versão de chave mais recente após a rotação.

Ao usar um SDK da Alibaba Cloud

Os SDKs da Alibaba Cloud chamam operações openapi. Utilize as seguintes operações para criptografia e descriptografia.

Gerar uma chave de dados: GenerateDataKey. O KMS utiliza a versão primária da chave especificada para criptografar a chave de dados.
Criptografar dados: Encrypt. O KMS utiliza a versão primária da chave especificada para criptografar o texto simples.
Descriptografar dados: Decrypt. O KMS utiliza a versão de chave correspondente ao texto cifrado de entrada para descriptografar os dados.

Ao usar um SDK de instância do KMS (não recomendado)

Este SDK não é recomendado para novos usuários. Os SDKs de instância do KMS chamam operações de API de instância. Utilize as seguintes operações para criptografia e descriptografia.

Gerar uma chave de dados: AdvanceGenerateDataKey. O KMS utiliza a versão primária da chave especificada para criptografar a chave de dados.
Criptografar dados: AdvanceEncrypt. O KMS utiliza a versão primária da chave especificada para criptografar o texto simples.
Descriptografar dados: AdvanceDecrypt. O KMS utiliza a versão de chave correspondente ao texto cifrado de entrada para descriptografar os dados.

Importante

Se você ativar a rotação automática para sua chave, não utilize as operações Encrypt, Decrypt ou GenerateDataKey. Essas operações usam a versão inicial da chave para criptografia e descriptografia, e não utilizam as novas versões geradas após a rotação.

Visualizar detalhes da rotação

Using the console

Na aba Customer Master Keys da página Keys, selecione um ID de instância do KMS e clique em o ID da chave de destino.
Na página de detalhes, visualize o Rotation Status, o Rotation Period e a Key Version.

Using an API

Chame a operação DescribeKey.