Rotación de AWS KMS keys

Para crear nuevo material criptográfico para sus claves administradas por el cliente, puede crear nuevas claves KMS y, a continuación, cambiar sus aplicaciones o alias para que utilicen las claves. O bien, puede rotar el material de claves asociado a una clave KMS existente habilitando la rotación automática de claves o realizando la rotación bajo demanda.

De forma predeterminada, cuando habilita la rotación automática de claves para una clave KMS, AWS KMS genera nuevo material criptográfico para la KMS cada año. También puede especificar un rotation-period personalizado para definir el número de días después de habilitar la rotación automática de claves que AWS KMS rotará el material clave y el número de días que transcurrirán entre cada rotación automática a partir de entonces. Si necesita iniciar inmediatamente la rotación del material de claves, puede realizar la rotación bajo demanda, independientemente de si la rotación automática de claves está habilitada o no. Las rotaciones bajo demanda no cambian los programas de rotación automática existentes.

Puede realizar el seguimiento de la rotación del material de claves para sus claves KMS en Amazon CloudWatch, AWS CloudTrail y la consola de AWS Key Management Service. También puede utilizar la operación GetKeyRotationStatus para comprobar si la rotación automática está habilitada para una clave KMS e identificar cualquier rotación bajo demanda en curso. Puede utilizar la operación ListKeyRotations para ver los detalles de las rotaciones completadas.

La rotación de claves cambia únicamente el material de claves actual, que es el secreto criptográfico que se usa en las operaciones de cifrado. Cuando se utiliza la clave de KMS rotada para descifrar el texto cifrado, AWS KMS utiliza la misma versión del material de claves empleado para cifrarlo. No puede seleccionar un material de claves concreto para las operaciones de descifrado; AWS KMS elige automáticamente el material de claves correcto. Dado que AWS KMS se descifra de forma transparente con el material de claves adecuado, puede utilizar de forma segura una clave KMS rotada en aplicaciones y Servicios de AWS sin cambios de código.

La clave KMS es el mismo recurso lógico, independientemente de si el material de claves cambie o de cuántas veces lo haga. Las propiedades de la clave KMS no cambian, tal y como se muestra en la siguiente imagen.

Podría optar por crear una nueva clave KMS y utilizarla en lugar de la clave KMS original. Esto tiene el mismo efecto que rotar el material de claves de una clave KMS existente, así que a menudo se considera una rotación manual de la clave. La rotación manual es una buena opción si quiere rotar las claves de KMS que no cumplen los requisitos para la rotación automática o bajo demanda de claves, incluidas las claves de KMS asimétricas, las claves de KMS HMAC, las claves de KMS en almacenes de claves personalizadas y claves de KMS con material de claves importado.

Rotación de claves y precios

AWS KMS factura una cuota mensual por la primera y segunda rotación de material de claves que mantiene para su clave KMS. Este aumento de precio está limitado a la segunda rotación y las rotaciones posteriores no se facturarán. Consulte los Precios de AWS Key Management Service para obtener más información.

Rotación de claves y cuotas

Cada clave KMS cuenta como una clave para el cálculo de las cuotas de recursos clave, independientemente del número de versiones de material de claves rotadas.

Para obtener información detallada sobre el material de claves y la rotación, consulte los Detalles criptográficos de AWS Key Management Service.

¿Por qué rotar las claves de KMS?

Las prácticas recomendadas en materia de criptografía desaconsejan la reutilización extensiva de las claves que cifran los datos directamente, como las claves de datos que AWS KMS genera. Cuando las claves de datos de 256 bits cifran millones de mensajes, estas pueden fatigarse y empezar a producir texto cifrado con patrones sutiles que los actores inteligentes pueden aprovechar para descubrir los bits de la clave. Lo mejor es utilizar las claves de datos una vez o solo unas cuantas veces para mitigar el agotamiento de las claves.

Sin embargo, las claves de KMS se utilizan con mayor frecuencia como claves de encapsulamiento, también conocidas como claves de cifrado de claves. En lugar de cifrar los datos, las claves de encapsulamiento cifran las claves de datos que cifran los datos. Por lo tanto, se utilizan con mucha menos frecuencia que las claves de datos y casi nunca se reutilizan lo suficiente como para correr el riesgo de que se fatiguen las claves.

A pesar de que el riesgo de fatiga es muy bajo, es posible que tenga que cambiar sus claves de KMS debido a normas comerciales o contractuales o a normativas gubernamentales. Cuando se vea en la obligación de rotar las claves de KMS, le recomendamos que utilice la rotación automática de claves cuando se permita, la rotación bajo demanda si la rotación automática no se admite y la rotación manual de claves cuando no se admita la rotación automática de claves ni la rotación bajo demanda.

Podría considerar la realización de rotaciones bajo demanda para demostrar las capacidades de rotación de material de claves o para validar los scripts de automatización. Recomendamos utilizar rotaciones bajo demanda para las rotaciones no planificadas y utilizar la rotación automática de claves con un periodo de rotación personalizado siempre que sea posible.

Cómo funciona la rotación de claves

La rotación de claves deAWS KMS está diseñada para ser transparente y fácil de usar. AWS KMS admite la rotación de claves automática y bajo demanda opcional solo para las claves administradas por el cliente.