Beveilig uw infrastructuur met certificaten met AWS Certificate Manager

Een digitaal certificaat is een cruciaal onderdeel voor het beveiligen van infrastructuur en het waarborgen van de authenticiteit van gebruikers, applicaties, apparaten, servers en meer. Het digitale certificaat biedt een manier om authenticatie en autorisatie van services uit te voeren en taken te verrichten zoals het initiëren van een HTTPS-verbinding, het opzetten van een versleutelde verbinding met behulp van asymmetrische encryptie en het controleren of een gebruiker, website of apparaat authentiek is. Digitale certificaten vervangen de gebruikersnaam/wachtwoordcombinatie die voor authenticatie wordt gebruikt en bieden bovendien meer functionaliteiten. Als twee partijen bijvoorbeeld een beveiligde verbinding willen opzetten met behulp van publieke sleutels, wordt de publieke sleutel aan het digitale certificaat gekoppeld. Dit verkleint de kans op man-in-the-middle-aanvallen aanzienlijk en zorgt ervoor dat de verbinding veilig blijft.

Maar het beheer van deze digitale certificaten vereist een goede infrastructuur. Digitale certificaten worden uitgegeven door certificeringsinstanties (CA's). Als een openbare, vertrouwde certificeringsinstantie (CA) het digitale certificaat uitgeeft, vertrouwen alle browsers het certificaat automatisch nadat ze hebben gecontroleerd of het certificaat geldig is. Als de certificeringsinstantie (CA) niet vertrouwd wordt, of als het certificaat zelfondertekend is (wat betekent dat het niet door een certificeringsinstantie is uitgegeven), moeten we het certificaat expliciet vertrouwen, anders krijgen we een waarschuwing in de browser.

AWS Certificate Manager (ACM) biedt een manier om openbare en privé SSL/TLS X.509-certificaten te maken, op te slaan en te vernieuwen , inclusief de openbare en privésleutels . Deze certificaten kunnen worden gebruikt om websites en applicaties die op AWS worden gehost te beveiligen.

Amazon Web Services Certificaatbeheerder (ACM)

AWS Certificate Manager is een dienst van Amazon waarmee gebruikers openbare en privé SSL/TLS-certificaten kunnen inrichten, beheren en implementeren. Deze certificaten kunnen worden gebruikt met AWS-services en intern verbonden bronnen. SSL/TLS-certificaten worden gebruikt om een ​​beveiligde netwerkverbinding tot stand te brengen en de identiteit en bronnen van een website in een privénetwerk te bewijzen. ACM is verantwoordelijk voor de aankoop, het beheer, de verlenging en de implementatie van SSL/TLS-certificaten in de infrastructuur, wat direct tijd bespaart en de beheerbaarheid verbetert.
AWS biedt klanten die beheerde X.509-certificaten implementeren twee opties. Organisaties kunnen de beste optie voor hun behoeften kiezen.

• AWS Certificaatbeheerder (ACM)
• ACM Private CA

ACM Private CA

ACM Private CA is een service voor zakelijke klanten die een public key infrastructure (PKI) bouwen in de AWS-cloud, bedoeld voor privégebruik binnen een organisatie. Met ACM Private CA kunnen gebruikers hun eigen CA-hiërarchie creëren en certificaten uitgeven om gebruikers, computers, applicaties, services, servers en andere apparaten te authenticeren. Certificaten uitgegeven door een private CA kunnen niet op internet worden gebruikt.

ACM-certificaat

AWS Certificate Manager genereert X.509 versie 3-certificaten. Elk certificaat is 13 maanden geldig en bevat de volgende extensies:

• Basisbeperkingen: geeft aan of het onderwerp van het certificaat een certificeringsinstantie (CA) is.
• Authority Key Identifier: maakt identificatie mogelijk van de openbare sleutel die overeenkomt met de privésleutel die is gebruikt om het certificaat te ondertekenen.
• Subject Key Identifier: maakt identificatie van certificaten mogelijk die een bepaalde openbare sleutel bevatten.
• Sleutelgebruik: definieert het doel van de openbare sleutel die in het certificaat is opgenomen.
• Uitgebreid sleutelgebruik: specificeert een of meer doeleinden waarvoor de openbare sleutel kan worden gebruikt, naast de doeleinden die worden geïdentificeerd door de uitbreiding Sleutelgebruik.
• CRL-distributiepunten: geeft aan waar CRL-informatie kan worden verkregen.

ACM Root CA's

Uitgesproken naam	Encryptie algoritme
CN=Amazon Root CA 1, O=Amazon, C=VS	2048-bits RSA (RSA_2048)
CN=Amazon Root CA 2, O=Amazon, C=VS	4096-bits RSA (RSA_4096)
CN=Amazon Root CA 3, O=Amazon, C=VS	Elliptische priemcurve 256 bit (EC_prime256v1)
CN=Amazon Root CA 4, O=Amazon, C=VS	Elliptische primecurve 384 bit (EC_secp384r1)

De standaard root of trust voor door ACM uitgegeven certificaten is CN=Amazon Root CA 1, O=Amazon, C=US, wat 2048-bits RSA-beveiliging biedt. De andere roots zijn gereserveerd voor toekomstig gebruik. Alle roots zijn kruisondertekend door het Starfield Services Root Certificate Authority (CA)-certificaat.

Kenmerken van het ACM-certificaat

Certificaten die door de ACM worden verstrekt, hebben specifieke kenmerken. Als het certificaat in de ACM wordt geïmporteerd, zijn deze kenmerken mogelijk niet van toepassing. De kenmerken van openbare certificaten zijn:

• Domeinvalidatie: ACM-certificaten zijn domeingevalideerd, wat wordt toegevoegd aan het onderwerpveld van een ACM-certificaat. Wanneer een ACM-certificaat wordt aangevraagd, moet de organisatie valideren dat zij alle in de aanvraag vermelde domeinen bezit, beheert en beheert. Gebruikers kunnen het domeineigendom valideren via e-mail of DNS.

• Geldigheidsduur: De geldigheidsduur van ACM-certificaten bedraagt ​​13 maanden of 395 dagen.

• Beheerde vernieuwing en implementatie: ACM beheert het proces van het verlengen van ACM-certificaten en het provisioneren ervan nadat ze zijn verlengd. Automatische verlenging kan organisaties helpen downtime te voorkomen als gevolg van onjuist geconfigureerde, ingetrokken of verlopen certificaten.

• Vertrouwen tussen browser en applicatie: 
  ACM-certificaten worden vertrouwd door alle grote browsers, waaronder Google Chrome, Microsoft Internet Explorer en Microsoft Edge, Mozilla Firefox en Apple Safari. Browsers die ACM-certificaten vertrouwen, tonen een slotpictogram in hun statusbalk of adresbalk wanneer ze via SSL/TLS verbonden zijn met websites die ACM-certificaten gebruiken. Java vertrouwt ACM-certificaten ook.

• Meerdere domeinnamen: Elk ACM-certificaat moet ten minste één volledig gekwalificeerde domeinnaam (FQDN) bevatten. Gebruikers kunnen desgewenst extra namen toevoegen. Wanneer gebruikers bijvoorbeeld een ACM-certificaat aanmaken voor www.encryptionconsulting.com, kunnen ze ook de naam www.encryptionconsulting.net toevoegen als ze hun website met beide namen kunnen bereiken. Dit geldt ook voor kale domeinen (ook wel bekend als zone apex of kale domeinen). Dat wil zeggen dat gebruikers een ACM-certificaat kunnen aanvragen voor www.encryptionconsulting.com en de naam encryptionconsulting.com kunnen toevoegen.

• Wildcard-domeinnamen: Met ACM kunnen gebruikers een asterisk (*) in de domeinnaam gebruiken om een ​​ACM-certificaat met een wildcardnaam aan te maken dat meerdere sites in hetzelfde domein kan beschermen. Bijvoorbeeld: *.encryptionconsulting.com dekt www.encryptionconsulting.com en images.encryptionconsulting.com.
• algoritmen: Een certificaat moet een algoritme en sleutelgrootte specificeren. Momenteel worden de volgende algoritmen voor openbare sleutels door ACM ondersteund:
  • 2048-bits RSA (RSA_2048)
  • 4096-bits RSA (RSA_4096)
  • Elliptische priemcurve 256 bit (EC_prime256v1)
  • Elliptische primecurve 384 bit (EC_secp384r1)

Nadelen van het gebruik van een ACM-certificaat

• ACM verstrekt geen Extended Validation (EV)-certificaten of Organization Validation (OV)-certificaten.
• ACM levert geen certificaten voor andere protocollen dan SSL/TLS.
• Organisaties kunnen ACM-certificaten niet gebruiken voor e-mailversleuteling.
• ACM staat alleen UTF-8-gecodeerde ASCII toe voor domeinnamen, inclusief labels die "xn--" bevatten (Punycode). ACM accepteert geen Unicode-invoer (u-labels) voor domeinnamen.
• ACM staat gebruikers momenteel niet toe om af te zien van beheerde certificaatverlenging voor ACM-certificaten. Beheerde verlenging is ook niet beschikbaar voor certificaten die organisaties importeren in ACM.
• Gebruikers kunnen geen certificaten aanvragen voor domeinnamen die eigendom zijn van Amazon, zoals domeinnamen die eindigen op amazonaws.com, cloudfront.net of elasticbeanstalk.com.
• Gebruikers kunnen de persoonlijke sleutel voor een ACM-certificaat niet downloaden.
• Gebruikers kunnen ACM-certificaten niet rechtstreeks installeren op hun Amazon Elastic Compute Cloud (Amazon EC2)-website of -applicatie. Gebruikers kunnen hun certificaat echter wel gebruiken met elke geïntegreerde service.

Services geïntegreerd met AWS Certificate Manager

AWS Certificate Manager ondersteunt een groeiend aantal AWS-services. Organisaties kunnen hun ACM-certificaat of hun private ACM Private CA-certificaat niet rechtstreeks op hun AWS-website of -applicatie installeren.

• Elastische lastverdeling: Elastic Load Balancing verdeelt het inkomende applicatieverkeer van de organisatie automatisch over meerdere Amazon EC2-instanties. Het detecteert ongezonde instanties en leidt het verkeer om naar gezonde instanties totdat de ongezonde instanties zijn hersteld. Elastic Load Balancing schaalt de verwerkingscapaciteit van aanvragen automatisch op basis van het inkomende verkeer.
  Om beveiligde content via SSL/TLS te kunnen aanbieden, vereisen load balancers over het algemeen dat SSL/TLS-certificaten worden geïnstalleerd op de load balancer of de back-end Amazon EC2-instance. ACM is geïntegreerd met Elastic Load Balancing om ACM-certificaten op de load balancer te implementeren.
• Amazon CloudFront: Amazon CloudFront is een webservice die de distributie van dynamische en statische webcontent van een organisatie naar eindgebruikers versnelt door hun content te leveren vanuit een wereldwijd netwerk van edge-locaties. Wanneer een eindgebruiker content opvraagt ​​die via CloudFront wordt aangeboden, wordt de gebruiker doorgestuurd naar de edge-locatie met de laagste latentie. Dit garandeert dat de content met de best mogelijke prestaties wordt geleverd. Als de content zich momenteel op die edge-locatie bevindt, wordt deze direct door CloudFront geleverd. Als de content zich momenteel niet op die edge-locatie bevindt, haalt CloudFront deze op uit de Amazon S3-bucket of webserver die gebruikers hebben geïdentificeerd als de definitieve contentbron.
  Om beveiligde content via SSL/TLS te kunnen aanbieden, vereist CloudFront dat SSL/TLS-certificaten worden geïnstalleerd op de CloudFront-distributie of op de ondersteunde contentbron. ACM is geïntegreerd met CloudFront om ACM-certificaten te implementeren op de CloudFront-distributie.
• AWS Elastic Beanstalk: Elastic Beanstalk helpt gebruikers bij het implementeren en beheren van applicaties in de AWS Cloud zonder zich zorgen te hoeven maken over de infrastructuur waarop deze applicaties draaien. AWS Elastic Beanstalk vermindert de beheercomplexiteit. Gebruikers uploaden hun applicaties en Elastic Beanstalk handelt automatisch de details af van capaciteitsprovisioning, load balancing, schaling en statusbewaking. Elastic Beanstalk gebruikt de Elastic Load Balancing-service om een ​​load balancer te creëren.
  U moet de load balancer voor uw toepassing configureren in de Elastic Beanstalk-console om een ​​certificaatrol te kiezen.
• Amazon API-gateway: Met de toename van mobiele apparaten en het Internet of Things (IoT) is het steeds gebruikelijker geworden om API's te creëren die toegang bieden tot gegevens en die kunnen communiceren met back-endsystemen op AWS. Gebruikers kunnen API Gateway gebruiken om hun API's te publiceren, onderhouden, monitoren en beveiligen. Nadat de gebruiker zijn API op API Gateway heeft geïmplementeerd, kan hij een aangepaste domeinnaam instellen om de toegang te vereenvoudigen. Om een ​​aangepaste domeinnaam in te stellen, moeten gebruikers een SSL/TLS-certificaat opgeven. Ze kunnen ACM gebruiken om het certificaat te genereren of te importeren.
• AWS Nitro-enclaves: AWS Nitro Enclaves is een Amazon EC2-functie waarmee gebruikers geïsoleerde uitvoeringsomgevingen, enclaves genaamd, kunnen creëren vanuit Amazon EC2-instances. Enclaves zijn afzonderlijke, beveiligde en zeer beperkte virtuele machines. Ze bieden alleen veilige lokale socketconnectiviteit met hun bovenliggende instance. Ze hebben geen permanente opslag, interactieve toegang of externe netwerken. Gebruikers kunnen geen SSH-verbinding maken met een enclave. De gegevens en applicaties in de enclave zijn niet toegankelijk voor de processen, applicaties of gebruikers van de bovenliggende instance (inclusief root of admin).
• AWS CloudFormatie: AWS CloudFormation helpt gebruikers bij het modelleren en instellen van hun AWS-resources. Gebruikers maken een sjabloon die de AWS-resources beschrijft die ze willen gebruiken, zoals Elastic Load Balancing of API Gateway. AWS CloudFormation zorgt vervolgens voor de provisioning en configuratie van die resources. Gebruikers hoeven niet zelf AWS-resources aan te maken en te configureren en uit te zoeken wat waarvan afhankelijk is; AWS CloudFormation regelt dat allemaal. ACM-certificaten worden meegeleverd als sjabloonresource, wat betekent dat AWS CloudFormation ACM-certificaten kan aanvragen die gebruikers met AWS-services kunnen gebruiken om verbindingen te beveiligen.
  Dankzij de krachtige automatisering van AWS CloudFormation kunt u eenvoudig het certificaatquotum overschrijden, vooral met nieuwe AWS-accounts.

Gegevensbescherming in AWS Certificate Manager

Het AWS-model voor gedeelde verantwoordelijkheid is van toepassing op gegevensbescherming in AWS Certificate Manager. Zoals beschreven in dit model, is AWS verantwoordelijk voor de beveiliging van de wereldwijde infrastructuur die de gehele AWS Cloud beheert. Organisaties zijn verantwoordelijk voor het behoud van controle over hun content die op deze infrastructuur wordt gehost. Deze content omvat de beveiligingsconfiguratie en beheertaken voor de AWS-services die organisaties gebruiken.

We raden organisaties aan om AWS-accountgegevens te beschermen en individuele gebruikersaccounts in te stellen met AWS Identity and Access Management (IAM) voor gegevensbeschermingsdoeleinden. Op die manier krijgt elke gebruiker alleen de rechten die nodig zijn om zijn of haar taken uit te voeren. We raden organisaties ook aan om hun gegevens op de volgende manieren te beveiligen:

• Gebruik multi-factor-authenticatie (MFA) voor elk account.
• Gebruik SSL/TLS om te communiceren met AWS-resources. Wij raden TLS 1.2 of hoger aan.
• Stel API- en gebruikersactiviteitsregistratie in met AWS CloudTrail.
• Gebruik AWS-encryptieoplossingen, samen met alle standaardbeveiligingscontroles binnen AWS-services.
• Maak gebruik van geavanceerde beheerde beveiligingsservices zoals Amazon Macie, die u helpen bij het ontdekken en beveiligen van persoonlijke gegevens die zijn opgeslagen in Amazon S3.
• Als gebruikers FIPS 140-2-gevalideerde cryptografische modules nodig hebben bij toegang tot AWS via een opdrachtregelinterface of een API, gebruik dan een FIPS-eindpunt.

We raden gebruikers ten zeerste aan om nooit gevoelige identificatiegegevens, zoals de rekeningnummers van hun klanten, in vrije velden zoals het veld Naam in te vullen. Dit geldt ook wanneer gebruikers met ACM of andere AWS-services werken via de console, API, AWS CLI of AWS SDK's. Alle gegevens die ze in ACM of andere services invoeren, kunnen worden herkend en opgenomen in diagnostische logs. Wanneer ze een URL naar een externe server opgeven, neem dan geen inloggegevens op in de URL om hun verzoek aan die server te valideren.

Beveiliging van ACM-privésleutels

Wanneer gebruikers een openbaar certificaat aanvragen (p. 30), genereert AWS Certificate Manager (ACM) een openbaar/privésleutelpaar. Voor geïmporteerde certificaten (p. 54) genereren gebruikers het sleutelpaar. De openbare sleutel wordt onderdeel van het certificaat. ACM slaat het certificaat en de bijbehorende privésleutel op en gebruikt AWS Key Management Service (AWS KMS) om de privésleutel te beschermen. Het proces werkt als volgt:

1. Wanneer nieuwe gebruikers een certificaat in een AWS-regio aanvragen of importeren, maakt ACM een door AWS beheerde klanthoofdsleutel (CMK) aan in AWS KMS met de alias AWS/ACM. Deze CMK is uniek in elk AWS-account en elke AWS-regio.
2. ACM gebruikt deze CMK om de privésleutel van het certificaat te versleutelen. ACM slaat alleen een versleutelde versie van de privésleutel op; ACM slaat de privésleutel niet op in platte tekst. ACM gebruikt dezelfde CMK om de privésleutels voor alle certificaten in een specifiek AWS-account en een specifieke AWS-regio te versleutelen.
3. Wanneer gebruikers het certificaat koppelen aan een service die geïntegreerd is met AWS Certificate Manager, stuurt ACM het certificaat en de versleutelde privésleutel naar de service. Er wordt ook een 'grant' aangemaakt in AWS KMS, waardoor de service de CMK in AWS KMS kan gebruiken om de privésleutel van het certificaat te decoderen.
4. Geïntegreerde services gebruiken de CMK in AWS KMS om de privésleutel te decoderen. Vervolgens gebruikt de service het certificaat en de gedecodeerde (platte tekst) privésleutel om beveiligde communicatiekanalen (SSL/TLS-sessies) met zijn clients tot stand te brengen.
5. Wanneer het certificaat wordt losgekoppeld van een geïntegreerde service, wordt de in stap 3 gecreëerde toekenning ingetrokken. Dit betekent dat de service de CMK in AWS KMS niet langer kan gebruiken om de privésleutel van het certificaat te decoderen.

Vraag een openbaar certificaat aan via de console

Om een ​​algemeen ACM-certificaat (console) aan te vragen:

1. Meld u aan bij de AWS Management Console en open de ACM-console. Kiezen Een certificaat aanvragen.
2. Op de een certificaat aanvragen pagina, kies de een openbaar certificaat aanvragen en een certificaat aanvragen te gaan.
3. Op de Voeg domeinnamen toe pagina, typ hun domeinnaam. Gebruikers kunnen een volledig gekwalificeerde domeinnaam (FQDN) gebruiken, zoals www.encryptionconsulting.com, of een kale of apex-domeinnaam zoals encryptionconsulting.com. Gebruikers kunnen ook een asterisk (*) gebruiken als joker in de meest linkse positie om meerdere sitenamen in hetzelfde domein te beschermen. Bijvoorbeeld: *.encryptionconsulting.com beschermt corp.encryptionconsulting.com en images.encryptionconsulting.comDe jokernaam wordt weergegeven in het veld Onderwerp en de extensie van de alternatieve onderwerpnaam van het ACM-certificaat.
4. Om een ​​andere naam toe te voegen, kiest u voor: een andere naam toevoegen aan dit certificaat en typ de naam in het tekstvak. Dit is handig voor het beschermen van zowel een kale als een apex-domein (zoals encryptieconsulting.com) en subdomeinen zoals *.encryptionconsulting.com).
5. Op de Selecteer validatiemethode pagina, kies een van beide DNS-validatie or E-mailvalidatie, afhankelijk van hun behoeften.
   Voordat ACM een certificaat uitgeeft, valideert het of de gebruiker eigenaar is van of controle heeft over de domeinnamen in zijn/haar certificaataanvraag. Gebruikers kunnen kiezen uit e-mailvalidatie of DNS-validatie. Als ze kiezen voor e-mailvalidatie, stuurt ACM validatie-e-mails naar drie contactadressen die geregistreerd staan ​​in de WHOIS-database en vijf algemene systeembeheeradressen voor elke domeinnaam. Gebruikers of een geautoriseerde vertegenwoordiger moeten op een van deze e-mailberichten reageren.
6. Op de Tags toevoegen Op de pagina kunnen gebruikers optioneel hun certificaat taggen. Tags zijn sleutel/waardeparen die dienen als metadata voor het identificeren en organiseren van AWS-resources.
   Wanneer gebruikers klaar zijn met het toevoegen van tags, kiezen ze Beoordeling.
7. Indien de Beoordeling pagina bevat correcte informatie over hun verzoek, kies Bevestigen en aanvragenEen bevestigingspagina toont aan dat hun verzoek wordt verwerkt en dat de certificaatdomeinen worden gevalideerd. Certificaten die in afwachting zijn van validatie, bevinden zich in de In afwachting van goedkeuring staat.

AWS-services van Encryption Consulting

Encryption Consulting biedt AWS Data Protection Services aan , waarbij we onze expertise inzetten op het gebied van schaalbaarheid, kosteneffectiviteit en implementatiegemak. AWS is een toonaangevende cloudserviceprovider met een breed scala aan diensten. Naar schatting maakt 41.5% van alle cloudgebruikers gebruik van AWS Cloud Services. Amazon heeft meer dan 1 miljoen gebruikers in 190 landen. Naar schatting bezoekt een derde van de internetgebruikers een website die gebruikmaakt van AWS. Met zo'n enorme klantenbasis en een breed scala aan diensten is er een reëel risico op datalekken en dataverlies.

Organisaties die AWS-webservices en -applicaties gebruiken, zijn verantwoordelijk voor het beveiligen van hun gevoelige en kritieke gegevens die in de cloud zijn opgeslagen. AWS biedt eenvoudige implementatie en beheer van IT-activiteiten; een uitdaging is echter dat fouten kunnen gebeuren en een grotere impact kunnen hebben.

Een verkeerde configuratie van een gegevensopslag kan bijvoorbeeld gevoelige informatie blootleggen, zoals persoonlijk identificeerbare informatie (PII), gegevens van de betalingskaartindustrie (PCI) of beschermde gezondheidsinformatie (PHI).

Een gerenommeerd marketinganalysebedrijf had tijdens een recente inbreuk geen passende beveiligingsmaatregelen ingesteld voor een Amazon Simple Storage Service (Amazon S3) binnen hun AWS-omgeving. Door deze verkeerde configuratie van AWS lekten gegevens van 123 miljoen huishoudens, waaronder gevoelige gegevens zoals huisadressen, beroep en hypotheekgegevens.

Encryption Consulting LLC helpt uw ​​organisatie met expertise in cloudplatformen en beveiligingsdiensten bij het implementeren van gegevensbeschermingsmaatregelen in uw AWS-cloudomgeving. Lees hier meer over onze diensten . U kunt ook een casestudy lezen die we hebben uitgevoerd over gegevensbescherming.

Conclusie

AWS Certificate Management biedt een manier om SSL/TLS-certificaten eenvoudig te beheren en te integreren in de AWS-omgeving om apparaten, websites en infrastructuur veilig te houden. Hoewel er reguliere SSL/TLS-certificaten worden gebruikt, heeft ACM een aantal voor- en nadelen, waardoor het verschilt van de manier waarop SSL/TLS-certificaten doorgaans worden gebruikt. Bij Encryption Consulting bieden we een gedetailleerde beoordeling en oplossing voor organisaties die een veilige en schaalbare infrastructuur willen creëren, met behoud van efficiëntie en minimale kosten.

Referenties:

• docs.aws.amazon.com/acm/latest/userguide/acm-overview
• aws.amazon.com/certificate-manager/