c3.14 転送中のデータを暗号化する
データを移動する AWS サービスは、安全なプロトコルによる転送中の暗号化に対応します。機微データを送るたびに暗号化するか、より望ましくは、転送中はすべてを暗号化して、誤って機微データを平文で送ることが決してないようにします。証明書は AWS Certificate Manager で管理します。
実装ガイダンス
転送中はすべてを暗号化する
データを移動する AWS サービスはすべて、安全なプロトコルによる転送中の暗号化に対応します。ケースごとに判断するのではなく、「転送中はすべて暗号化」を採用し、ミスによって機微データがネットワーク上で暗号化されないことが決してないようにします。ロードバランサーのリスナーを安全なプロトコル（HTTPS/TLS）に設定し、Site-to-Site/Client VPN、DataSync、Storage Gateway、Database Migration Service、AWS Backup などのサービスで転送中の暗号化を有効にします。
ACM で証明書を自動化する
AWS Certificate Manager（ACM）を使い、Application Load Balancer・CloudFront・API Gateway 上の TLS/SSL 証明書のプロビジョニングと自動更新・ローテーションを行い、証明書の期限切れによる障害を防ぎます。内部アプリケーション向けには、AWS Private CA がプライベート証明書を自動で発行・ローテーションします。
全体像
How to validate
- ロードバランサーのリスナーと公開エンドポイントは安全なプロトコル（TLS）を使っていますか？
- ケースごとに判断するのではなく「転送中はすべて暗号化」を採用していますか？
- 証明書は期限切れを避けるため ACM（内部アプリには Private CA）で管理・自動ローテーションされていますか？
Threats addressed
- 転送中に暗号化されずに送られたデータはネットワーク上で傍受され（中間者攻撃）、認証情報や機微データが露出する可能性があります。期限切れの証明書は障害を引き起こしたり、ユーザーが警告を無視する原因にもなります。
AWS サービス
AWS Certificate Manager 
AWS Private CA 
Amazon CloudFront 料金
ACM のパブリック TLS/SSL 証明書は無料です。ACM の料金を参照してください（AWS Private CA は別途課金）。