AWS Nitro Enclaves

Crie isolamento adicional para proteger ainda mais os dados altamente confidenciais em instâncias do EC2

Por que usar o AWS Nitro Enclaves?

O AWS Nitro Enclaves permite que os clientes criem ambientes de computação isolados para proteger e processar com mais segurança dados altamente confidenciais, como informações de identificação pessoal (PII), informações de saúde, dados financeiros e dados de propriedade intelectual em suas instâncias do Amazon EC2. O Nitro Enclaves usa a mesma tecnologia Nitro Hypervisor que fornece isolamento de CPU e memória para instâncias do EC2.

O Nitro Enclaves ajuda os clientes a reduzir a área da superfície de ataque das aplicações de processamento de dados mais confidenciais. O Enclaves oferece um ambiente isolado, reforçado e altamente restrito para hospedar aplicativos críticos para a segurança. O Nitro Enclaves inclui atestado criptográfico para o seu software, para garantir que apenas o código autorizado esteja em execução, bem como integração com o AWS Key Management Service, para que apenas seus enclaves possam acessar material confidencial.

Não há cobranças adicionais por usar o AWS Nitro Enclaves além das praticadas pelo uso de instâncias do Amazon EC2 e quaisquer outros serviços da AWS que sejam usados com o Nitro Enclaves.

Benefícios

Os enclaves são máquinas virtuais totalmente isoladas, protegidas e muito restritas. Eles não possuem armazenamento persistente, acesso interativo e nem conexão com redes externas. A comunicação entre a sua instância e o seu enclave é feita por meio de um canal local seguro. Mesmo que você seja um usuário root ou administrador na instância, não será capaz de acessar ou utilizar SSH no enclave.

O Nitro Enclaves utiliza o isolamento comprovado do Nitro Hypervisor para isolar ainda mais a CPU e a memória do enclave em relação aos usuários, aplicações e bibliotecas na instância pai. Esses recursos ajudam a isolar o enclave e o seu software, além de reduzirem significativamente a área de superfície de ataque.

Um atestado permite verificar a identidade do enclave e se apenas o código autorizado está em execução no seu enclave. O processo de atestado é realizado por meio do Nitro Hypervisor, que produz um documento de atestado assinado para o enclave, para provar sua identidade a outra parte ou serviço. Documentos de atestado contêm detalhes importantes do enclave, como a chave pública do enclave, os hashes da imagem e dos aplicativos do enclave e muito mais. O Nitro Enclaves inclui integração com o AWS KMS, em que o KMS pode ler e verificar esses documentos de atestado enviados pelo enclave.

Os Nitro Enclaves são flexíveis. Você pode criar enclaves com combinações variadas de núcleos de CPU e memória. Isso garante a posse de recursos suficientes para executar as mesmas aplicações que consomem muita memória ou computação que você já estava executando nas suas instâncias do EC2 existentes. Os Nitro Enclaves não dependem do processador e podem ser usados em instâncias com tecnologia de diferentes fornecedores de CPU. Também são compatíveis com qualquer linguagem ou estrutura de trabalho de programação. Além disso, uma vez que muitos componentes do Nitro Enclaves são de código aberto, o cliente pode até mesmo inspecionar o código e validá-lo por conta própria.

Casos de uso

Os clientes já podem isolar e usar chaves privadas (por exemplo, SSL/TLS) em um enclave, ao mesmo tempo que evitam que usuários, aplicações e bibliotecas na instância pai visualizem essas chaves. Normalmente, essas chaves privadas são armazenadas na instância do EC2 em texto simples.

O AWS Certificate Manager (ACM) para Nitro Enclaves é uma aplicação de enclave que permite a utilização de certificados SSL/TLS privados e públicos com suas aplicações Web e servidores executados em instâncias do Amazon EC2 com o AWS Nitro Enclaves.

A tokenização é um processo que converte dados altamente confidenciais, como números de cartões de crédito ou dados de assistência médica, em um token. Com os Nitro Enclaves, os clientes podem executar a aplicação que faz essa conversão dentro de um enclave. Os dados criptografados podem ser enviados para o enclaves, onde são descriptografados e, em seguida, processados. A instância pai do EC2 não será capaz de visualizar ou acessar os dados confidenciais durante todo esse processo.

Usando a capacidade criptográfica de atestados dos Nitro Enclaves, os clientes podem configurar computação de várias partes, em que várias partes podem ingressar e processar dados altamente confidenciais sem ter que divulgar ou compartilhar os dados reais com cada parte individual. A computação de várias partes também pode ser feita na mesma organização para estabelecer a separação de tarefas.

Histórias de clientes