Preguntas frecuentes sobre AWS CloudHSM

Se le cobrará una tarifa por hora por cada hora (u hora parcial) durante la que se aprovisione un HSM en un clúster de AWS CloudHSM. Los clústeres sin HSM no se cobran, ni se le cobra el almacenamiento automático de las copias de seguridad cifradas. Para obtener más información, consulte la página Precios de AWS CloudHSM. Tenga en cuenta que las transferencias de datos de red hacia y desde sus HSM se cobran por separado. Si desea obtener más información, consulte los precios de transferencia de datos para EC2.

No, no existe ningún nivel gratuito para AWS CloudHSM.

No, la tarifa por hora, que varía en función de la región, no depende del uso que se haga del HSM.

No, no ofrecemos precios de instancias reservadas para AWS CloudHSM.

Sí. Para empezar a usar AWS CloudHSM, es necesario cumplir ciertos requisitos previos como, por ejemplo, tener una nube privada virtual (VPC) en la región en la que desee ubicar el servicio AWS CloudHSM. Consulte AWS CloudHSM User Guide para más información.

No. AWS administra el firmware en el hardware. Un tercero se encarga de mantener el firmware. Además, NIST evalúa la conformidad con FIPS 140-2 de nivel 3 de todo firmware. Solo se puede instalar el firmware que dispone de una firma criptográfica de la clave FIPS (a la que AWS no tiene acceso).

AWS aconseja encarecidamente que disponga de al menos de dos HSM en dos zonas de disponibilidad distintas para cualquier carga de producción. Para cargas de trabajo críticas, recomendamos que disponga de al menos tres HSM en dos zonas de disponibilidad como mínimo. El cliente de CloudHSM administrará automáticamente cualquier fallo en los HSM y equilibrará la carga entre dos o más HSM de manera transparente a su aplicación.

AWS realiza copias de seguridad cifradas automáticas de su clúster de CloudHSM a diario. AWS realiza copias de seguridad copias de seguridad adicionales cuando se producen eventos del ciclo de vida del clúster (como agregar o eliminar un HSM). Durante el periodo de 24 horas entre copias de seguridad, usted es responsable de la durabilidad del material de las claves creado o importado en su clúster. Recomendamos encarecidamente que se asegure de que cualquier clave creada se sincronice en al menos dos HSM en dos zonas de disponibilidad distintas para garantizar la durabilidad de las claves. Para obtener más detalles sobre como verificar la sincronización de las claves, consulte AWS CloudHSM User Guide.

La alta disponibilidad se proporciona automáticamente cuando dispone de al menos dos HSM distribuidos en dos zonas de disponibilidad en su clúster de CloudHSM. No se necesita ninguna configuración adicional. En el caso de que se produzca un error en un HSM de su clúster, se sustituirá automáticamente, y se actualizarán todos los clientes para reflejar la nueva configuración sin interrumpir el procesamiento. Se pueden agregar HSM adicionales al clúster mediante la API o el SDK de AWS, incrementando la disponibilidad sin interrumpir la aplicación.

Un único clúster de CloudHSM puede contener hasta 28 HSM, sujeto a límites de servicio de la cuenta. Obtenga más información sobre los límites del servicio y la forma de solicitar un incremento del límite en nuestra documentación en línea.

AWS realiza copias de seguridad de su clúster de CloudHSM una vez al día. También es posible exportar claves (“encapsuladas”) desde su clúster y almacenarlas en las instalaciones, siempre y cuando no se generen en formato “no exportable”.

Sí, puede encontrar el acuerdo de nivel de servicio (SLA) de AWS CloudHSM aquí.

No. Como parte del servicio, recibe acceso de un inquilino al HSM. Puede compartir el hardware subyacente con otros clientes, pero solo usted puede acceder al HSM.

La división de controles y el control de acceso basado en roles es inherente al diseño de AWS CloudHSM. AWS posee una credencial limitada para el HSM que nos permite supervisar y mantener el estado y la disponibilidad del HSM, realizar copias de seguridad cifradas y extraer y publicar registros de auditorías en Registros de CloudWatch. AWS no tiene acceso a ninguna clave o datos dentro de su clúster de CloudHSM y no puede desempeñar ninguna operación más que aquellas permitidas por un usuario del dispositivo de HSM.

Consulte AWS CloudHSM User Guide para obtener más información sobre la división de controles y las capacidades que cada clase de usuario posee en el HSM.

Sí. AWS CloudHSM publica varias métricas de Amazon CloudWatch para clústeres de CloudHSM y HSM individuales. Puede usar la consola, la API o el SDK de Amazon CloudWatch para obtener estas métricas y crear alarmas asociadas con ellas.

Cada HSM cuenta con un generador de bits aleatorios determinista (DRBG) validado por FIPS que envía un generador de número aleatorio verdadero (TRNG) en el módulo de hardware HSM que cumple los requisitos de SP800-90B.

AWS CloudHSM cuenta con mecanismos de detección de manipulaciones y respuesta físicos y lógicos que activan la eliminación de claves (reinicio) del hardware. El hardware está diseñado para detectar manipulaciones si se infringe la barrera física. Los HSM también están protegidos contra ataques de inicio por fuerza bruta. Una vez excedido un número determinado de intentos fallidos para obtener acceso a un HSM con credenciales de un responsable de criptografía (CO) o administrador, el HSM bloqueará la salida del CO o del administrador. De igual modo, una vez excedido un número determinado de intentos fallidos para obtener acceso a un HSM con credenciales de un usuario de criptografía (CU), el usuario se bloqueará y un CO o un administrador deberá desbloquearlo.

Amazon monitorea y realiza las tareas de mantenimiento del HSM y la red para comprobar la disponibilidad y si se han producido errores. Si se produce un error en un HSM o se pierde la conexión a la red, el HSM se sustituye automáticamente. Puede comprobar el estado de un HSM concreto a través de la API, el SDK o las herramientas de la CLI de AWS CloudHSM y verificar el estado general del servicio en cualquier momento mediante el panel de estado de los servicios de AWS.

Si su clúster de AWS CloudHSM tiene un único HSM, sí, es posible perder las claves que se crearon desde la copia de seguridad más reciente. Los clústeres de AWS CloudHSM con dos o más HSM, preferentemente en zonas de disponibilidad independientes, no perderán las claves si falla un único HSM. Para obtener más información, consulte nuestras prácticas recomendadas.

No. Amazon no tiene acceso ni a sus claves ni a sus credenciales, por lo que no puede recuperar sus claves si pierde sus credenciales.

AWS CloudHSM está creado en hardware validado por el estándar de procesamiento de información federal (FIPS) 140-2 de nivel 3. Puede consultar información sobre el perfil de seguridad FIPS 140-2 para el hardware que utiliza CloudHSM y sobre el firmware que ejecuta en nuestra página de conformidad.

Sí, CloudHSM suministra HSM que cumplen los requisitos de FIPS 140-2 de nivel 3. Puede leer el procedimiento en CloudHSM User Guide en la sección Verify the Authenticity of Your HSM para confirmar que dispone de un HSM auténtico con el mismo modelo de hardware que se especifica en la política de seguridad NIST descrita en la pregunta anterior.

AWS CloudHSM siempre se encuentra en modo FIPS 140-2. Puede verificarlo con las herramientas de la CLI, tal y como se documenta en CloudHSM User Guide y mediante la ejecución del comando getHsmInfo, que indicará el estado del modo FIPS.

Sí. AWS CloudTrail registra las llamadas a las API de AWS de su cuenta. El historial de llamadas a las API de AWS creado por AWS CloudTrail permite realizar análisis de seguridad, un seguimiento de los cambios en los recursos y auditorías de conformidad. Obtenga más información sobre AWS CloudTrail en la página de inicio de CloudTrail y habilítelo en la Consola de administración de AWS de CloudTrail.

AWS CloudTrail no incluye ninguno de los dispositivos ni registros de acceso de HSM. Registros de AWS CloudWatch se los proporciona directamente en su cuenta de AWS. Para obtener más información, consulte AWS CloudHSM User Guide.

Para obtener más información sobre los programas de conformidad que incluyen CloudHSM, consulte la página Conformidad de AWS. A diferencia de otros servicios de AWS, los requisitos de conformidad de AWS CloudHSM suelen satisfacerse a través de la validación FIPS 140-2 de nivel 3 del hardware, en lugar de formar parte de un programa de auditoría independiente.

La norma FIPS 140-2 de nivel 3 es un requisito de determinados casos de uso, incluida la firma de documentos, los pagos o ejercer como autoridad certificadora pública para la emisión de certificados SSL.

Para ver qué informes de conformidad incluyen AWS CloudHSM, revise los datos en Servicios de AWS en el ámbito del programa de conformidad. Para crear informes de conformidad bajo demanda, de autoservicio y gratuitos, use AWS Artifact.

Si solo le interesa la validación FIPS para los HSM que ofrece AWS CloudHSM, consulte Validación FIPS.

El rendimiento puede variar en función de la configuración, el tamaño de los datos y la carga de aplicaciones adicionales en sus instancias de EC2. Para aumentar el rendimiento, puede agregar instancias de HSM adicionales a sus clústeres. Le recomendamos que pruebe la carga de su aplicación para determinar las necesidades de escalado.

Para más detalles, consulte la página de rendimiento en la guía del usuario de AWS CloudHSM.

Para obtener más información sobre el almacenamiento de claves y la capacidad del clúster, consulte AWS CloudHSM quotas.

No directamente. Debe utilizar AWS Key Management Service con un almacén de claves personalizado para proteger los datos de Amazon RDS mediante el uso de claves generadas y almacenadas en el clúster de CloudHSM.

Varios proveedores de terceros admiten AWS CloudHSM como raíz de confianza. Esto quiere decir que puede utilizar una solución de software de su elección y, al mismo tiempo, crear y almacenar las claves subyacentes en su clúster de CloudHSM.

Biblioteca de clientes de AWS CloudHSM es un paquete de software provisto por AWS que le permite a usted y sus aplicaciones interactuar con los clústeres de CloudHSM.

No. Toda la comunicación entre el cliente y su HSM está cifrada de extremo a extremo. AWS no puede ver ni interceptar esta comunicación y no tiene visibilidad en sus credenciales de acceso de clúster.

Consulte las instrucciones en CloudHSM User Guide.

No. Las herramientas de CloudHSM se comunican directamente con su clúster de CloudHSM a través de Biblioteca de clientes de CloudHSM mediante un canal seguro y mutuamente autenticado. AWS no puede observar ninguna comunicación entre el cliente, las herramientas y los HSM. Está cifrada de extremo a extremo.

En nuestra documentación en línea se ofrece una lista completa de los sistemas operativos compatibles.

El host en el que pone en marcha Biblioteca de clientes de CloudHSM o utiliza las herramientas de la CLI debe poder comunicarse por red con todos los demás HSM de su clúster de CloudHSM.

Puede crear, modificar, eliminar y obtener el estado de HSM y clústeres de CloudHSM. Lo que puede hacer con la API de AWS CloudHSM está limitado a las operaciones que AWS pueda realizar con su acceso restringido. La API no puede obtener acceso al contenido del HSM ni modificar usuarios, políticas ni ningún otro ajuste. Consulte la Documentación de CloudHSM para obtener información sobre la API o la página Herramientas para Amazon Web Services si desea más información sobre el SDK.

En primer lugar, asegúrese de que los algoritmos y modos que necesita sean compatibles con AWS CloudHSM. De ser necesario, el administrador de cuentas puede enviarnos solicitudes de características. A continuación, defina una estrategia de rotación de claves. También publicamos una guía detallada de migración para AWS CloudHSM. Ya tiene todo listo para comenzar con AWS CloudHSM.

La estrategia de rotación dependerá del tipo de aplicación. A continuación se muestran los ejemplos más comunes.

• Claves privadas para firma: generalmente, la clave privada del HSM corresponde a un certificado intermedio, que a su vez firma una raíz de empresa sin conexión. Las claves se rotan emitiendo un nuevo certificado intermedio. Cree una clave privada nueva y genere la CSR correspondiente con OpenSSL en AWS CloudHSM. A continuación, firme la CSR con la misma raíz de empresa sin conexión. Es posible que tenga que registrar este certificado nuevo con cualquier socio que no verifique automáticamente la cadena de certificados completa. Posteriormente, firmaría todas las solicitudes nuevas (como para documentos, código u otros certificados) con la nueva clave privada correspondiente al certificado nuevo. Puede continuar verificando las firmas desde la clave privada original con la clave pública correspondiente. No es necesario hacer una revocación. Este proceso es equivalente al proceso que seguiría para eliminar o archivar una clave de firma.
• Cifrado de datos transparente de Oracle: puede transferir su cartera mediante, primero, el cambio de un almacén de claves de hardware (su HSM original) por un almacén de claves de software y, a continuación, de vuelta a un almacén de claves de hardware (AWS CloudHSM). Nota: Si utiliza Amazon RDS, consulte la pregunta frecuente anterior “¿AWS CloudHSM es compatible con Amazon RDS Oracle TDE?”
• Clave simétrica para cifrado de sobres: el cifrado de sobres se refiere a la arquitectura de claves en la que una clave del HSM cifra o descifra muchas claves de datos en el host de aplicación. Probablemente, ya cuenta con un proceso de rotación de claves definido para revisar y descifrar las claves de datos con la clave de encapsulación anterior y volver a cifrarlas con la clave de encapsulación nueva. La única diferencia durante la migración será que la clave de encapsulación nueva se creará y usará en AWS CloudHSM en vez de en el HSM original. Si aún no cuenta con un proceso y una herramienta de rotación de claves definidos, deberá crearlos.

Cada aplicación y caso de uso es diferente. En la guía de migración para CloudHSM, se incluyen soluciones de casos comunes. Si tiene otras preguntas, abra un caso de soporte con los detalles de su aplicación y el tipo de HSM y de claves que utiliza actualmente, e indique si estas son exportables o no. Lo ayudaremos a definir una ruta de migración adecuada.

No, pero es posible que AWS tenga que realizar mantenimiento en el caso de actualizaciones necesarias o hardware con mal funcionamiento. Nos esforzaremos en notificarle con anticipación mediante el panel de estado personal si se espera algún impacto.

Tenga en cuenta que es su responsabilidad diseñar su clúster para alta disponibilidad. AWS recomienda encarecidamente que use clústeres de CloudHSM con dos o más HSM en zonas de disponibilidad separadas. Puede consultar más información sobre las prácticas recomendadas en nuestra documentación en línea.

En nuestra guía de solución de problemas, puede encontrar soluciones a problemas comunes. Si aún experimenta problemas, póngase en contacto con AWS Support.