Encriptación en S3 con Llaves Propias del Usuario

Contenido del curso

Bienvenida e Introducción

Almacenamiento de objetos en AWS (S3)

Clases de storage en S3

Seguridad en S3.

Storage Gateway

Sistema de archivos elástico (EFS)

Sistema de archivo por bloques (EBS)

Conclusiones

Tomar examen

Cursos Empresas Blog Live Conf Eventos Precios

0:003:00

Encriptación en S3 con Llaves Propias del Usuario

Curso Práctico de Storage en AWS

Clase 19 de 37

Clase 19 / 37

Recursos

¿Cómo funciona la encriptación del lado del servidor en AWS S3?

La encriptación del lado del servidor con AWS S3 es un componente crucial para garantizar la seguridad de tus datos en la nube. AWS ofrece diferentes formas de encriptación, y en este artículo nos centraremos en la tercera opción, caracterizada por ofrecer al usuario un control completo sobre las llaves de encriptación.

¿Cuál es la participación del cliente en la encriptación?

En esta opción de encriptación, el usuario es quien genera y gestiona las llaves en su propio sistema, proporcionando las claves necesarias a S3 para encriptar y desencriptar la información. Esta forma de encriptación le otorga al cliente un control total sobre la administración de las llaves y la seguridad de sus datos, ya que las claves no se almacenan en S3, sino que son manejadas por el propio usuario.

¿Qué consideraciones se deben tener en cuenta?

Provisión y manejo de llaves: El usuario debe encargarse de generar y proporcionar las llaves necesarias para la encriptación y desencriptación de los datos.
Seguridad de la transferencia: Es esencial utilizar HTTPS para enviar las llaves a través de los encabezados, asegurando así que la transferencia de datos sea segura y evitando que AWS rechace las solicitudes por razones de seguridad.
Rotación y manejo de encabezados: La responsabilidad del ciclo de vida de las llaves, así como de cualquier actividad relacionada con los encabezados, recae totalmente en el usuario.

Esta metodología destaca por ofrecer flexibilidad y control, especialmente útil para organizaciones que tienen requisitos específicos de seguridad o normativas que exigen mayor gestión sobre las llaves de encriptación.

¿Cuáles son los casos de uso más comunes?

Este tipo de encriptación es ideal para:

Empresas con sistemas de generación de llaves propios: Organizaciones que ya cuentan con mecanismos y políticas internas para el manejo de llaves y desean conservar ese control.
Cumplimiento de normativas: Situaciones donde las leyes o regulaciones exigen un estricto manejo y control de las claves de encriptación para proteger la información sensible.
Necesidades específicas de seguridad: Empresas que requieren un nivel superior de seguridad y desean evitar almacenar claves en servicios de terceros.

En resumen, esta opción es recomendable para quienes buscan tener un control exhaustivo sobre la encriptación de sus datos en la nube, alineándose perfectamente con las necesidades específicas de seguridad y cumplimiento normativo de muchas organizaciones.

Mario Alexander Vargas Celis

Hace 2 años

🔐 Encriptación en S3 con Llaves del Usuario (SSE-C - Server-Side Encryption with Customer-Provided Keys)

AWS permite cifrar objetos en Amazon S3 utilizando llaves de cifrado proporcionadas por el usuario. Esta opción es conocida como SSE-C (Server-Side Encryption with Customer-Provided Keys) y brinda control total sobre las claves, pero también mayor responsabilidad en su gestión.

🛡️ ¿Qué es SSE-C?

SSE-C permite que tú proporciones la clave de cifrado en cada operación de carga y recuperación de objetos en S3.

✅ Control total sobre la clave de cifrado ✅ AWS S3 cifra y almacena el objeto sin retener la clave ✅ Los datos se desencriptan solo si proporcionas la clave correcta ✅ No hay costos adicionales por uso de AWS KMS

⚠️ Desventaja: 🔹 AWS NO almacena la clave, por lo que si la pierdes, los datos serán irrecuperables.

⚙️ ¿Cómo funciona?

El usuario proporciona una clave de cifrado cuando sube un objeto a S3.
S3 usa la clave para cifrar el objeto antes de almacenarlo.
Al recuperar el objeto, el usuario debe proporcionar la misma clave.
S3 usa la clave para descifrar y entregar el archivo.

📝 ¿Cómo habilitar SSE-C?

📌 Opción 1: Con AWS CLI

🔸 Subir un objeto con SSE-C

aws s3 cp archivo.txt s3://mi-bucket/ --sse-c AES256 --sse-c-key MiClaveBase64

📌 Nota: MiClaveBase64 es la clave de cifrado en formato Base64.

🔸 Descargar un objeto cifrado con SSE-C

aws s3 cp s3://mi-bucket/archivo.txt ./archivo_descifrado.txt --sse-c AES256 --sse-c-key MiClaveBase64

📌 Nota: Debes proporcionar la misma clave utilizada al cifrar el archivo.

📌 Opción 2: Con AWS SDK (Python - Boto3)

import boto3 import base64

s3 = boto3.client('s3')

# Clave del usuario en Base64 user_key = base64.b64encode(b'MiClaveSeguraDe256Bits').decode('utf-8')

# Subir un archivo con SSE-C s3.put_object( Bucket='mi-bucket', Key='archivo.txt', Body=open('archivo.txt', 'rb'), SSECustomerAlgorithm='AES256', SSECustomerKey=user_key )

# Descargar un archivo cifrado con SSE-C obj = s3.get_object( Bucket='mi-bucket', Key='archivo.txt', SSECustomerAlgorithm='AES256', SSECustomerKey=user_key ) contenido = obj['Body'].read()

📌 Nota: La clave debe ser segura y de 256 bits, codificada en Base64.

🎯 ¿Cuándo usar SSE-C?

✔️ Cuando no quieres depender de AWS para gestionar claves. ✔️ Si necesitas cumplir requisitos estrictos de seguridad y almacenar claves externamente. ✔️ Cuando quieres evitar los costos de AWS KMS.

⚠️ No usar SSE-C si existe riesgo de perder la clave, ya que los datos serán inaccesibles.

🚀 Conclusión

SSE-C ofrece máximo control sobre la encriptación en S3, pero también mayor responsabilidad en la gestión de claves. Es ideal para empresas con estrictos requisitos de seguridad o que ya gestionan sus claves externamente.

Bienvenida e Introducción

Opciones de Almacenamiento en AWS: Características y Casos de Uso

Diseño e Implementación de Arquitectura de Almacenamiento en AWS

Almacenamiento de objetos en AWS (S3)

Almacenamiento y Gestión de Objetos en AWS S3

Versionamiento de Archivos en S3: Control y Recuperación de Datos

Configuración de Sitios Web Estáticos en Amazon S3 y Route 53

Registro de Actividades en S3 con Integración a CloudTrail y CloudWatch

Transferencia Acelerada en AWS S3: Activación y Casos de Uso

Configuración y Uso de Eventos en S3 para Notificaciones y Monitoreo

Replicación de Objetos en S3 entre Regiones de AWS

Clases de storage en S3

Clases de Almacenamiento en Amazon S3: S3 Estándar y S3 IA

Uso eficiente de S3-IA para almacenamiento poco frecuente

Almacenamiento S3IA Única Zona: Uso y Consideraciones

Almacenamiento y Recuperación de Datos Históricos con Amazon Glacier

Gestión de Ciclo de Vida en Amazon S3 para Optimizar Costos y Almacenamiento

Estrategias de Migración de Datos a AWS S3

Casos de Uso Avanzados de S3 en AWS

Seguridad en S3.

Cifrado del Lado del Servidor en Amazon S3: Seguridad de Datos

Cifrado del lado del servidor con KMS en AWS

Encriptación en S3 con Llaves Propias del Usuario

Creación y uso de llaves KMS en AWS S3

Políticas de Seguridad en AWS S3: Control de Acceso y Permisos

Políticas de Seguridad en Amazon S3: Ejemplos y Configuración

Listas de Control de Acceso (ACLs) en Amazon S3: Seguridad y Configuración

Storage Gateway

Conexión Híbrida: Integración On-Premise con AWS Storage Gateway

Uso de File Gateway para Migración de Datos a AWS S3

Implementación de Virtual Tape Library en Amazon Glacier

Volume Gateway: Gestión de Volúmenes en la Nube y On-Premise

Sistema de archivos elástico (EFS)

Elastic File System (EFS) en AWS: Uso, Configuración y Beneficios

Casos de uso de EFS en arquitecturas escalables en AWS

Sistema de archivo por bloques (EBS)

Elastic Block Storage (EBS) en AWS: Uso y Características Clave

Tipos de EBS: GP2 y IO1 y sus usos recomendados

Tipos de Volúmenes EBS y sus Casos de Uso Específicos

Gestión de Snapshots y AMIs en AWS EBS

Creación y Gestión de Volúmenes EBS en Instancia Windows AWS

Creación y Gestión de Volúmenes EBS en Instancias Linux

Conclusiones

Tipos de Almacenamiento en AWS: S3, EBS y EFS

Opciones de Almacenamiento en AWS: S3, EBS, EFS y Seguridad

Encriptación en S3 con Llaves Propias del Usuario