Chaves protegidas por HSM e TLS 1.3

​

O que está ativo

​

Gerenciamento de chaves protegido por HSM

• A criptografia envelope dos segredos do EKS utiliza uma chave AWS KMS gerenciada pelo cliente (arn:aws:kms:us-west-2:REDACTED:key/...).
• A chave KMS é protegida por HSMs validados FIPS 140-2 Nível 3 operados pela AWS.
• Segredos criptografados com SOPS em repouso no repositório também utilizam AWS KMS para criptografia envelope.
• Volumes EBS anexados ao cluster de produção usam encrypted: "true" com a classe de armazenamento gp3, com chaves de criptografia gerenciadas pelo KMS.

​

Aplicação do TLS 1.3

• apigw.mka1.com:443 negociou TLSv1.3 com a suíte de cifras TLS_AES_128_GCM_SHA256.
• livekit.mka1.com:443 negociou TLSv1.3 com a suíte de cifras TLS_AES_128_GCM_SHA256.
• Ambos os endpoints utilizam troca de chaves X25519 (253 bits) e chaves públicas de servidor RSA de 2048 bits emitidas pelo AWS Certificate Manager.
• A política SSL do ALB ELBSecurityPolicy-TLS13-1-2-2021-06 está configurada nos ingresses do Kong e LiveKit, garantindo apenas TLS 1.3 e cifras TLS 1.2 fortes.
• O cluster CNPG/PostgreSQL de produção aplica ssl_min_protocol_version: TLSv1.3 e ssl_max_protocol_version: TLSv1.3.
• Os certificados TLS do banco de dados são gerenciados pelo cert-manager com segredos dedicados clientCASecret, serverCASecret, serverTLSSecret e replicationTLSSecret.

​

Como validamos

aws eks describe-cluster --name mk1-eks-production --region us-west-2 \
  --query 'cluster.encryptionConfig'

openssl s_client -connect apigw.mka1.com:443 -servername apigw.mka1.com -tls1_3 -brief
openssl s_client -connect livekit.mka1.com:443 -servername livekit.mka1.com -tls1_3 -brief

kubectl -n cnpg get cluster -o yaml | grep -A2 ssl

​

Evidências

​

Provedor KMS no cluster EKS

{
  "cluster": {
    "name": "mk1-eks-production",
    "encryptionConfig": [
      {
        "resources": ["secrets"],
        "provider": {
          "keyArn": "arn:aws:kms:us-west-2:[redacted-account]:key/[redacted-key-id]"
        }
      }
    ]
  }
}

​

Handshake TLS 1.3 com tamanhos de chave — apigw.mka1.com

CONEXÃO ESTABELECIDA
Versão do protocolo: TLSv1.3
Suíte de cifras: TLS_AES_128_GCM_SHA256
Chave temporária do par: X25519, 253 bits
Verificação: OK
...
Chave pública do servidor é 2048 bits
Código de retorno da verificação: 0 (ok)

​

Handshake TLS 1.3 com tamanhos de chave — livekit.mka1.com

CONEXÃO ESTABELECIDA
Versão do protocolo: TLSv1.3
Suíte de cifras: TLS_AES_128_GCM_SHA256
Chave temporária do par: X25519, 253 bits
Verificação: OK
...
Chave pública do servidor é 2048 bits
Código de retorno da verificação: 0 (ok)

​

Política SSL do ALB e configuração TLS do banco de dados

Ingress público do Kong:
- alb.ingress.kubernetes.io/ssl-policy: ELBSecurityPolicy-TLS13-1-2-2021-06

CNPG/PostgreSQL:
- ssl_min_protocol_version: TLSv1.3
- ssl_max_protocol_version: TLSv1.3
- clientCASecret: mk1-db-[redacted]
- serverCASecret: mk1-db-[redacted]
- serverTLSSecret: mk1-db-[redacted]
- replicationTLSSecret: mk1-db-[redacted]