c3.14 Cifrar datos en tránsito
Los servicios de AWS que mueven datos soportan cifrado en tránsito con protocolos seguros. Cifre siempre que se transmitan datos sensibles o, mejor, cifre todo en tránsito para que nada sensible se envíe en claro por error. Gestione los certificados con AWS Certificate Manager.
Guía de implementación
Cifre todo en tránsito
Todo servicio de AWS que mueve datos soporta cifrado en tránsito sobre protocolos seguros. En vez de decidir caso por caso, adopte "cifrar todo en tránsito" para que un error nunca deje datos sensibles sin cifrar en la red. Configure los listeners de los balanceadores para usar protocolos seguros (HTTPS/TLS) y habilite el cifrado en tránsito en servicios como Site-to-Site/Client VPN, DataSync, Storage Gateway, Database Migration Service y AWS Backup.
Automatice los certificados con ACM
Use AWS Certificate Manager (ACM) para aprovisionar, y renovar y rotar automáticamente, certificados TLS/SSL en Application Load Balancers, CloudFront y API Gateway, evitando interrupciones por certificados vencidos. Para aplicaciones internas, AWS Private CA emite y rota certificados privados automáticamente.
Cómo encaja
Cómo validar
- ¿Los listeners de los balanceadores y los endpoints públicos usan protocolos seguros (TLS)?
- ¿Ha adoptado "cifrar todo en tránsito" en vez de decidir caso por caso?
- ¿Los certificados se gestionan y auto-rotan con ACM (y Private CA para apps internas) para evitar vencimientos?
Amenazas que atiende
- Los datos enviados sin cifrado en tránsito pueden interceptarse en la red (man-in-the-middle), exponiendo credenciales o datos sensibles; un certificado vencido también puede causar interrupciones o llevar a los usuarios a ignorar advertencias.
Servicios AWS
AWS Certificate Manager 
AWS Private CA 
Amazon CloudFront Precios
Los certificados TLS/SSL públicos de ACM son gratuitos. Vea precios de ACM (AWS Private CA se cobra por separado).