Enclaves de AWS Nitro

Cree aislamiento adicional para proteger aún más los datos altamente sensibles dentro de las instancias EC2

¿Por qué AWS Nitro Enclaves?

AWS Nitro Enclaves permite que los clientes creen entornos informáticos aislados para proteger aún más y procesar de manera segura los datos altamente sensibles como la información de identificación personal (PII), datos de atención sanitaria, financieros y de propiedad intelectual dentro de sus instancias Amazon EC2. Enclaves de Nitro utiliza la misma tecnología Hipervisor Nitro que proporciona aislamiento de memoria y de CPU para las instancias EC2.

Enclaves de Nitro ayuda a los clientes a reducir el área de superficie de ataque para sus aplicaciones de procesamiento de datos más sensibles. Los enclaves ofrece un entorno aislado, endurecido y altamente limitado que aloja aplicaciones críticas de seguridad. Enclaves de Nitro incluye acreditación criptográfica para su software, de manera que pueda estar seguro de que solo se ejecuta el código autorizado, así como la integración con el AWS Key Management Service, de manera que solo sus enclaves puedan acceder a material sensible.

No hay costo adicional por el uso de AWS Nitro Enclaves más allá que el de las instancias de Amazon EC2 y cualquier otro servicio de AWS que se utilice con AWS Nitro Enclaves.

Beneficios

Los enclaves son máquinas virtuales completamente aisladas, protegidas y altamente limitadas. No cuentan con almacenamiento persistente, acceso interactivo o redes externas. La comunicación entre su instancia y su enclave se realiza utilizando un canal local seguro. Ni siquiera un usuario raíz o admin de la instancia podrá acceder o conectar con el enclave mediante SSH.

Enclaves de Nitro utiliza el aislamiento probado del Hipervisor Nitro para aislar aún más la CPU y la memoria del enclave de usuarios, aplicaciones y bibliotecas en la instancia principal. Estas características ayudan a aislar el enclave y su software y reducen en gran medida el área de superficie de ataque.

La acreditación le permite verificar que solo el código autorizado se esté ejecutando en su enclave, como también verificar la identidad del enclave. El proceso de acreditación se alcanza a través del Hipervisor Nitro, que produce una documentación de acreditación firmada para que el enclave demuestre su identidad a otra parte o servicio. Los documentos de acreditación contienen detalles clave del enclave como su clave pública, hashes de las imágenes y aplicaciones del enclave y más. Enclaves de Nitro incluye la integración con KMS de AWS, donde KMS puede leer y verificar estos documentos de acreditación que se envían desde el enclave.

Los enclaves de Nitro son flexibles. Puede crear enclaves con diferentes combinaciones de memoria y núcleos de CPU. Esto le garantiza que haya suficientes recursos como para ejecutar la misma memoria o computar aplicaciones intensivas que ya ejecutaba en sus instancias EC2 existentes. Los Enclaves de Nitro funcionan con cualquier procesador, y pueden utilizarse con instancias de diferentes proveedores de CPU. También son compatibles con cualquier marco o lenguaje de programación. Además, puesto que muchos componentes de los enclaves de Nitro son de código abierto, el cliente también puede inspeccionar el código y validarlo por sí mismo.

Casos de uso

Ahora, los clientes pueden aislar y utilizar claves privadas (p. ej., SSL/TLS) en un enclave, a la vez que evitan que los usuarios, aplicaciones y bibliotecas de la instancia principal vean dichas claves. Por lo general, estas claves privadas se almacenan en la instancia EC2 en texto sin formato.

AWS Certificate Manager (ACM) para Nitro Enclaves es una aplicación de enclaves que permite utilizar certificados SSL/TLS públicos y privados con aplicaciones web y servidores que se ejecutan en instancias de Amazon EC2 con AWS Nitro Enclaves.

La tokenización es un proceso que convierte datos altamente confidenciales como números de tarjetas de crédito o datos sanitarios en un token. Con Enclaves de Nitro, los clientes pueden ejecutar la aplicación que realiza esta conversión dentro de un enclave. Los datos cifrados se pueden enviar al enclave, donde se descifra y se procesa. La instancia EC2 principal no podrá ver o acceder a datos sensibles durante este proceso.

Mediante la capacidad de acreditación criptográfica de Enclaves de Nitro, los clientes pueden configurar el cálculo para varias partes, mediante el cual pueden unirse diferentes partes y procesar datos altamente confidenciales sin tener que revelar o compartir los datos con el resto de partes. El cálculo para varias partes también puede llevarse a cabo dentro de la misma organización para establecer la separación de deberes.

Historias de clientes