Français - Ht Cloud
HackTricks Training Twitter Linkedin Sponsor

AWS - KMS Enum

Soutenez HackTricks

KMS - Key Management Service

AWS Key Management Service (AWS KMS) est présenté comme un service géré, simplifiant le processus pour les utilisateurs de créer et gérer des clés maîtresses client (CMKs). Ces CMKs sont essentielles dans le chiffrement des données utilisateur. Une caractéristique notable d'AWS KMS est que les CMKs sont principalement sécurisées par des modules de sécurité matériels (HSMs), renforçant la protection des clés de chiffrement.

KMS utilise la cryptographie symétrique. Cela est utilisé pour chiffrer les informations au repos (par exemple, à l'intérieur d'un S3). Si vous avez besoin de chiffrer des informations en transit, vous devez utiliser quelque chose comme TLS.

KMS est un service spécifique à une région.

Les administrateurs d'Amazon n'ont pas accès à vos clés. Ils ne peuvent pas récupérer vos clés et ne vous aident pas à chiffrer vos clés. AWS administre simplement le système d'exploitation et l'application sous-jacente, c'est à nous d'administrer nos clés de chiffrement et de gérer comment ces clés sont utilisées.

Customer Master Keys (CMK) : Peuvent chiffrer des données jusqu'à 4KB. Elles sont généralement utilisées pour créer, chiffrer et déchiffrer les DEKs (Data Encryption Keys). Ensuite, les DEKs sont utilisés pour chiffrer les données.

Une clé maîtresse client (CMK) est une représentation logique d'une clé maîtresse dans AWS KMS. En plus des identifiants de la clé maîtresse et d'autres métadonnées, y compris sa date de création, sa description et son état, une CMK contient le matériel de clé utilisé pour chiffrer et déchiffrer les données. Lorsque vous créez une CMK, par défaut, AWS KMS génère le matériel de clé pour cette CMK. Cependant, vous pouvez choisir de créer une CMK sans matériel de clé et ensuite importer votre propre matériel de clé dans cette CMK.

Il existe 2 types de clés maîtresses :

  • CMKs gérées par AWS : Utilisées par d'autres services pour chiffrer des données. Elles sont utilisées par le service qui les a créées dans une région. Elles sont créées la première fois que vous implémentez le chiffrement dans ce service. Elles tournent tous les 3 ans et il n'est pas possible de les changer.

  • CMKs gérées par le client : Flexibilité, rotation, accès configurable et politique de clé. Activer et désactiver les clés.

Chiffrement par enveloppe dans le contexte du Key Management Service (KMS) : Système hiérarchique à deux niveaux pour chiffrer les données avec une clé de données puis chiffrer la clé de données avec une clé maîtresse.

Politiques de Clé

Ces politiques définissent qui peut utiliser et accéder à une clé dans KMS.

Par défaut :

  • Elles donnent un accès complet à la clé KMS au compte AWS qui possède la clé KMS.

Contrairement à d'autres politiques de ressources AWS, une politique de clé KMS AWS ne donne pas automatiquement la permission au compte ou à l'un de ses utilisateurs. Pour donner la permission aux administrateurs de compte, la politique de clé doit inclure une déclaration explicite qui fournit cette permission, comme celle-ci.

  • Sans autoriser le compte ("AWS": "arn:aws:iam::111122223333:root") les permissions IAM ne fonctionneront pas.

  • Elles permettent au compte d'utiliser des politiques IAM pour autoriser l'accès à la clé KMS, en plus de la politique de clé.

Sans cette permission, les politiques IAM qui autorisent l'accès à la clé sont inefficaces, bien que les politiques IAM qui refusent l'accès à la clé soient toujours efficaces.

  • Elles réduisent le risque que la clé devienne ingérable en donnant la permission de contrôle d'accès aux administrateurs de compte, y compris l'utilisateur root du compte, qui ne peut pas être supprimé.

Exemple de politique par défaut :

{
"Sid": "Enable IAM policies",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::111122223333:root"
},
"Action": "kms:*",
"Resource": "*"
}

Si le compte est autorisé ("arn:aws:iam::111122223333:root"), un principal du compte aura toujours besoin des permissions IAM pour utiliser la clé KMS. Cependant, si l'ARN d'un rôle par exemple est spécifiquement autorisé dans la Key Policy, ce rôle n'a pas besoin de permissions IAM.

Détails de la politique

Propriétés d'une politique :

  • Document basé sur JSON

  • Resource --> Ressources affectées (peut être "*")

  • Action --> kms:Encrypt, kms:Decrypt, kms:CreateGrant ... (permissions)

  • Effect --> Allow/Deny

  • Principal --> arn affecté

  • Conditions (optionnel) --> Condition pour donner les permissions

Grants :

  • Permet de déléguer vos permissions à un autre principal AWS au sein de votre compte AWS. Vous devez les créer en utilisant les API AWS KMS. Il peut être indiqué l'identifiant CMK, le principal bénéficiaire et le niveau d'opération requis (Decrypt, Encrypt, GenerateDataKey...)

  • Après la création du grant, un GrantToken et un GrantID sont émis

Accès :

  • Via key policy -- Si cela existe, cela prend précédence sur la politique IAM

  • Via politique IAM

  • Via grants

Administrateurs de clés

Administrateur de clé par défaut :

  • Ont accès à la gestion de KMS mais pas pour chiffrer ou déchiffrer des données

  • Seuls les utilisateurs et rôles IAM peuvent être ajoutés à la liste des administrateurs de clés (pas les groupes)

  • Si un CMK externe est utilisé, les administrateurs de clés ont la permission d'importer le matériel de clé

Rotation des CMK

  • Plus une clé reste en place longtemps, plus de données sont chiffrées avec cette clé, et si cette clé est compromise, alors la zone d'impact des données à risque est plus large. De plus, plus la clé est active longtemps, plus la probabilité qu'elle soit compromise augmente.

  • KMS fait tourner les clés client tous les 365 jours (ou vous pouvez effectuer le processus manuellement quand vous le souhaitez) et les clés gérées par AWS tous les 3 ans et ce délai ne peut pas être modifié.

  • Les anciennes clés sont conservées pour déchiffrer les données chiffrées avant la rotation

  • En cas de compromission, faire tourner la clé ne supprimera pas la menace car il sera possible de déchiffrer toutes les données chiffrées avec la clé compromise. Cependant, les nouvelles données seront chiffrées avec la nouvelle clé.

  • Si le CMK est en état de désactivé ou en attente de suppression, KMS ne fera pas de rotation de clé jusqu'à ce que le CMK soit réactivé ou que la suppression soit annulée.

Rotation manuelle

  • Un nouveau CMK doit être créé, puis, un nouvel identifiant CMK est créé, vous devrez donc mettre à jour toute application pour référencer le nouvel identifiant CMK.

  • Pour rendre ce processus plus facile, vous pouvez utiliser des alias pour référencer un identifiant de clé et ensuite simplement mettre à jour la clé à laquelle l'alias fait référence.

  • Vous devez conserver les anciennes clés pour déchiffrer les anciens fichiers chiffrés avec elles.

Vous pouvez importer des clés depuis votre infrastructure de clés sur site.

Autres informations pertinentes sur KMS

KMS est facturé par nombre de requêtes de chiffrement/déchiffrement reçues de tous les services par mois.

KMS a une intégration complète d'audit et de conformité avec CloudTrail ; c'est là que vous pouvez auditer tous les changements effectués sur KMS.

Avec la politique KMS, vous pouvez faire ce qui suit :

  • Limiter qui peut créer des clés de données et quels services ont accès à utiliser ces clés

  • Limiter l'accès des systèmes à chiffrer uniquement, déchiffrer uniquement ou les deux

  • Définir pour permettre aux systèmes d'accéder aux clés à travers les régions (bien que cela ne soit pas recommandé car une défaillance dans la région hébergeant KMS affectera la disponibilité des systèmes dans d'autres régions).

Vous ne pouvez pas synchroniser ou déplacer/copier des clés à travers les régions ; vous pouvez seulement définir des règles pour permettre l'accès à travers les régions.

Énumération

aws kms list-keys
aws kms list-key-policies --key-id <id>
aws kms list-grants --key-id <id>
aws kms describe-key --key-id <id>
aws kms get-key-policy --key-id <id> --policy-name <name> # Default policy name is "default"
aws kms describe-custom-key-stores

Privesc

AWS - KMS Privesc

Post Exploitation

AWS - KMS Post Exploitation

Persistence

AWS - KMS Persistence

Références

Soutenez HackTricks
PreviousAWS - IAM, Identity Center & SSO EnumNextAWS - Lambda Enum

Last updated