c3.14 Criptografar dados em trânsito
Os serviços da AWS que movem dados suportam criptografia em trânsito com protocolos seguros. Criptografe sempre que dados sensíveis forem transmitidos ou, melhor, criptografe tudo em trânsito para que nada sensível seja enviado em texto claro por engano. Gerencie os certificados com o AWS Certificate Manager.
Guia de implementação
Criptografe tudo em trânsito
Todo serviço da AWS que move dados suporta criptografia em trânsito sobre protocolos seguros. Em vez de decidir caso a caso, adote "criptografar tudo em trânsito" para que um erro nunca deixe dados sensíveis sem criptografia na rede. Configure os listeners dos balanceadores para usar protocolos seguros (HTTPS/TLS) e habilite a criptografia em trânsito em serviços como Site-to-Site/Client VPN, DataSync, Storage Gateway, Database Migration Service e AWS Backup.
Automatize os certificados com o ACM
Use o AWS Certificate Manager (ACM) para provisionar, e renovar e rotacionar automaticamente, certificados TLS/SSL em Application Load Balancers, CloudFront e API Gateway, evitando indisponibilidades por certificados expirados. Para aplicações internas, o AWS Private CA emite e rotaciona certificados privados automaticamente.
Como se encaixa
Como validar
- Os listeners dos balanceadores e os endpoints públicos usam protocolos seguros (TLS)?
- Você adotou "criptografar tudo em trânsito" em vez de decidir caso a caso?
- Os certificados são gerenciados e auto-rotacionados com o ACM (e o Private CA para apps internas) para evitar expiração?
Ameaças atendidas
- Dados enviados sem criptografia em trânsito podem ser interceptados na rede (man-in-the-middle), expondo credenciais ou dados sensíveis; um certificado expirado também pode causar indisponibilidades ou levar os usuários a ignorar avisos.
Serviços AWS
AWS Certificate Manager 
AWS Private CA 
Amazon CloudFront Preços
Os certificados TLS/SSL públicos do ACM são gratuitos. Veja os preços do ACM (o AWS Private CA é cobrado separadamente).