Français - Ht Cloud
HackTricks TrainingTwitterLinkedinSponsor

AWS - KMS Enum

Support HackTricks

KMS - Service de Gestion des Clés

Le Service de Gestion des Clés d'AWS (AWS KMS) est présenté comme un service géré, simplifiant le processus pour les utilisateurs de créer et gérer des clés maîtresses client (CMK). Ces CMK sont essentielles dans le chiffrement des données utilisateur. Une caractéristique notable d'AWS KMS est que les CMK sont principalement sécurisées par des modules de sécurité matériels (HSM), renforçant la protection des clés de chiffrement.

KMS utilise la cryptographie symétrique. Cela est utilisé pour chiffrer les informations au repos (par exemple, à l'intérieur d'un S3). Si vous devez chiffrer des informations en transit, vous devez utiliser quelque chose comme TLS.

KMS est un service spécifique à une région.

Les administrateurs d'Amazon n'ont pas accès à vos clés. Ils ne peuvent pas récupérer vos clés et ne vous aident pas avec le chiffrement de vos clés. AWS administre simplement le système d'exploitation et l'application sous-jacente, il nous appartient d'administrer nos clés de chiffrement et de gérer comment ces clés sont utilisées.

Clés Maîtresses Client (CMK) : Peuvent chiffrer des données jusqu'à 4 Ko. Elles sont généralement utilisées pour créer, chiffrer et déchiffrer les DEK (Clés de Chiffrement des Données). Ensuite, les DEK sont utilisées pour chiffrer les données.

Une clé maîtresse client (CMK) est une représentation logique d'une clé maîtresse dans AWS KMS. En plus des identifiants de la clé maîtresse et d'autres métadonnées, y compris sa date de création, sa description et son état, une CMK contient le matériel de clé utilisé pour chiffrer et déchiffrer les données. Lorsque vous créez une CMK, par défaut, AWS KMS génère le matériel de clé pour cette CMK. Cependant, vous pouvez choisir de créer une CMK sans matériel de clé et ensuite importer votre propre matériel de clé dans cette CMK.

Il existe 2 types de clés maîtresses :

  • CMK gérées par AWS : Utilisées par d'autres services pour chiffrer des données. Elles sont utilisées par le service qui les a créées dans une région. Elles sont créées la première fois que vous implémentez le chiffrement dans ce service. Elles sont renouvelées tous les 3 ans et il n'est pas possible de les changer.

  • CMK gérées par le client : Flexibilité, rotation, accès configurable et politique de clé. Activer et désactiver les clés.

Chiffrement par enveloppe dans le contexte du Service de Gestion des Clés (KMS) : Système hiérarchique à deux niveaux pour chiffrer les données avec une clé de données puis chiffrer la clé de données avec une clé maîtresse.

Politiques de Clé

Ceci définit qui peut utiliser et accéder à une clé dans KMS.

Par défaut :

  • Cela donne à l'account AWS qui possède la clé KMS un accès complet à la clé KMS.

Contrairement à d'autres politiques de ressources AWS, une politique de clé KMS AWS ne donne pas automatiquement la permission à l'account ou à ses utilisateurs. Pour donner la permission aux administrateurs de l'account, la politique de clé doit inclure une déclaration explicite qui fournit cette permission, comme celle-ci.

  • Sans permettre à l'account("AWS": "arn:aws:iam::111122223333:root") les permissions IAM ne fonctionneront pas.

  • Cela permet à l'account d'utiliser des politiques IAM pour permettre l'accès à la clé KMS, en plus de la politique de clé.

Sans cette permission, les politiques IAM qui permettent l'accès à la clé sont inefficaces, bien que les politiques IAM qui refusent l'accès à la clé soient toujours efficaces.

  • Cela réduit le risque que la clé devienne ingérable en donnant la permission de contrôle d'accès aux administrateurs de l'account, y compris l'utilisateur root de l'account, qui ne peut pas être supprimé.

Exemple de politique par défaut :

{
"Sid": "Enable IAM policies",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::111122223333:root"
},
"Action": "kms:*",
"Resource": "*"
}

Si le compte est autorisé ("arn:aws:iam::111122223333:root"), un principal du compte aura toujours besoin des permissions IAM pour utiliser la clé KMS. Cependant, si l'ARN d'un rôle par exemple est spécifiquement autorisé dans la politique de clé, ce rôle n'a pas besoin de permissions IAM.

Détails de la politique

Propriétés d'une politique :

  • Document basé sur JSON

  • Ressource --> Ressources affectées (peut être "*")

  • Action --> kms:Encrypt, kms:Decrypt, kms:CreateGrant ... (permissions)

  • Effet --> Autoriser/Refuser

  • Principal --> arn affecté

  • Conditions (optionnel) --> Condition pour donner les permissions

Accords :

  • Permet de déléguer vos permissions à un autre principal AWS au sein de votre compte AWS. Vous devez les créer en utilisant les API AWS KMS. Il peut être indiqué l'identifiant CMK, le principal bénéficiaire et le niveau d'opération requis (Déchiffrer, Chiffrer, GénérerDataKey...)

  • Après la création de l'accord, un GrantToken et un GrantID sont émis

Accès :

  • Via politique de clé -- Si cela existe, cela prend précédence sur la politique IAM

  • Via politique IAM

  • Via accords

Administrateurs de clés

Administrateur de clés par défaut :

  • A accès pour gérer KMS mais pas pour chiffrer ou déchiffrer des données

  • Seuls les utilisateurs et rôles IAM peuvent être ajoutés à la liste des Administrateurs de clés (pas de groupes)

  • Si un CMK externe est utilisé, les Administrateurs de clés ont la permission d'importer des matériaux de clé

Rotation des CMK

  • Plus la même clé est laissée en place longtemps, plus de données sont chiffrées avec cette clé, et si cette clé est compromise, alors plus la zone d'impact des données est à risque. De plus, plus la clé est active longtemps, plus la probabilité qu'elle soit compromise augmente.

  • KMS fait tourner les clés clients tous les 365 jours (ou vous pouvez effectuer le processus manuellement quand vous le souhaitez) et les clés gérées par AWS tous les 3 ans et cette fois-ci, cela ne peut pas être changé.

  • Les anciennes clés sont conservées pour déchiffrer les données qui ont été chiffrées avant la rotation

  • En cas de compromission, faire tourner la clé ne supprimera pas la menace car il sera possible de déchiffrer toutes les données chiffrées avec la clé compromise. Cependant, les nouvelles données seront chiffrées avec la nouvelle clé.

  • Si le CMK est en état de désactivé ou en attente de suppression, KMS ne procédera pas à une rotation de clé tant que le CMK n'est pas réactivé ou que la suppression n'est pas annulée.

Rotation manuelle

  • Un nouveau CMK doit être créé, ensuite, un nouvel ID de CMK est créé, donc vous devrez mettre à jour toute application pour référencer le nouvel ID de CMK.

  • Pour faciliter ce processus, vous pouvez utiliser des alias pour référencer un key-id et ensuite simplement mettre à jour la clé à laquelle l'alias fait référence.

  • Vous devez conserver les anciennes clés pour déchiffrer les anciens fichiers chiffrés avec elles.

Vous pouvez importer des clés de votre infrastructure de clés sur site.

Autres informations KMS pertinentes

KMS est facturé par le nombre de demandes de chiffrement/déchiffrement reçues de tous les services par mois.

KMS a une intégration complète d'audit et de conformité avec CloudTrail ; c'est là que vous pouvez auditer tous les changements effectués sur KMS.

Avec la politique KMS, vous pouvez faire ce qui suit :

  • Limiter qui peut créer des clés de données et quels services ont accès à utiliser ces clés

  • Limiter l'accès des systèmes à chiffrer uniquement, déchiffrer uniquement ou les deux

  • Définir pour permettre aux systèmes d'accéder aux clés à travers les régions (bien que cela ne soit pas recommandé car une défaillance dans la région hébergeant KMS affectera la disponibilité des systèmes dans d'autres régions).

Vous ne pouvez pas synchroniser ou déplacer/copier des clés entre les régions ; vous ne pouvez définir que des règles pour permettre l'accès entre les régions.

Énumération

aws kms list-keys
aws kms list-key-policies --key-id <id>
aws kms list-grants --key-id <id>
aws kms describe-key --key-id <id>
aws kms get-key-policy --key-id <id> --policy-name <name> # Default policy name is "default"
aws kms describe-custom-key-stores

Privesc

Post Exploitation

Persistence

Références

Soutenir HackTricks
PreviousAWS - IAM, Identity Center & SSO EnumNextAWS - Lambda Enum

Last updated