implementing-envelope-encryption-with-aws-kms
Ajuda seu agente a usar criptografia com AWS KMS para proteger dados. Ele criptografa dados localmente e protege a chave de criptografia. É útil para gerenciar chaves de criptografia na AWS.
O que ela faz
Essa ferramenta ajuda a proteger seus dados importantes. Ela usa uma chave secreta para criptografar seus dados e outra chave mestra para proteger essa chave secreta, tornando mais seguro o armazenamento de muitos arquivos ou arquivos grandes na nuvem.
Quando usar
- ✓Ao planejar como proteger muitos arquivos na nuvem.
- ✓Ao precisar seguir regras de segurança específicas.
- ✓Ao criar ou melhorar a segurança de sistemas.
Exemplo do que pedir para a IA
“Como posso usar essa técnica para proteger meus documentos importantes na nuvem?”
Quer saber mais? Abra as seções abaixo.
Como usar
O jeito mais fácil: copie a mensagem abaixo e cole no Claude, ChatGPT, Cursor ou outra IA. Ela lê a skill e segue as instruções.
Link da skill
Mensagem pronta para colar
Como funciona
Primeiro, uma chave temporária é criada para criptografar seus dados localmente. Em seguida, essa chave temporária é protegida por uma chave mestra guardada pela AWS. Para ler os dados, o processo é invertido.
Instalação
Jeito mais fácil: copie o link da skill e cole no Claude, ChatGPT ou Cursor pedindo para seguir as instruções.
No terminal (Claude Code, Codex, Cursor), na pasta do projeto:
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill implementing-envelope-encryption-with-aws-kmsOu baixe só o arquivo:
curl -L https://raw.githubusercontent.com/mukul975/Anthropic-Cybersecurity-Skills/main/skills/implementing-envelope-encryption-with-aws-kms/SKILL.md -o SKILL.mdConteúdo técnico (SKILL.md)
Tradução do texto original do autor no GitHub. Os comandos e códigos estão como no original.
Implementando Criptografia de Envelope com AWS KMS
Visão Geral
Criptografia de envelope é uma estratégia onde os dados são criptografados com uma chave de criptografia de dados (DEK), e a própria DEK é criptografada com uma chave mestra (KEK) gerenciada pelo AWS KMS. Essa abordagem permite criptografar grandes volumes de dados localmente, mantendo a chave mestra segura em um módulo de segurança de hardware (HSM) gerenciado pela AWS. Esta habilidade abrange a implementação de criptografia de envelope usando a API GenerateDataKey do AWS KMS.
Quando Usar
- Ao implantar ou configurar a implementação de criptografia de envelope com recursos do AWS KMS em seu ambiente
- Ao estabelecer controles de segurança alinhados a requisitos de conformidade
- Ao construir ou aprimorar a arquitetura de segurança para este domínio
- Ao conduzir avaliações de segurança que exigem esta implementação
Pré-requisitos
- Familiaridade com conceitos e ferramentas de criptografia
- Acesso a um ambiente de teste ou laboratório para execução segura
- Python 3.8+ com as dependências necessárias instaladas
- Autorização apropriada para quaisquer atividades de teste
Objetivos
- Compreender o padrão de criptografia de envelope e suas vantagens
- Gerar chaves de criptografia de dados usando AWS KMS GenerateDataKey
- Criptografar/descriptografar dados localmente usando DEKs
- Armazenar a DEK criptografada junto com o texto cifrado
- Implementar cache de chaves para reduzir chamadas à API KMS
- Lidar com rotação de chaves com re-criptografia automática
- Implementar criptografia multi-região para recuperação de desastres
Conceitos Chave
Fluxo de Criptografia de Envelope
- Chame
kms:GenerateDataKeypara obter a DEK em texto plano + DEK criptografada - Use a DEK em texto plano para criptografar dados localmente (AES-256-GCM)
- Armazene a DEK criptografada junto com o texto cifrado
- Descarte a DEK em texto plano da memória
- Para descriptografia: chame
kms:Decryptna DEK criptografada, depois descriptografe os dados
Vantagens Sobre a Criptografia Direta com KMS
| Aspecto | KMS Direto | Criptografia de Envelope |
|---|---|---|
| Tamanho máximo de dados | 4 KB | Ilimitado |
| Latência | Ida e volta de rede por operação | Criptografia local |
| Custo | $0.03/10.000 requisições | Menos requisições KMS |
| Offline | Não possível | Sim (com DEKs em cache) |
Tipos de Chaves KMS
- Gerenciadas pela AWS: A AWS cria e gerencia (
aws/s3,aws/ebs) - Gerenciadas pelo Cliente: Você cria e gerencia políticas
- Armazenamento de Chaves Personalizado: Suportado por cluster CloudHSM
Considerações de Segurança
- Nunca armazene a DEK em texto plano; mantenha apenas a DEK criptografada
- Use políticas de chave para restringir quem pode chamar GenerateDataKey e Decrypt
- Habilite o registro no AWS CloudTrail para todas as chamadas à API KMS
- Implemente rotação de chaves (rotação anual automática para CMKs)
- Use contexto de criptografia para metadados de criptografia autenticada
- Lide com o throttling do KMS com backoff exponencial
Critérios de Validação
- GenerateDataKey retorna DEK em texto plano e criptografada
- Os dados são criptografados corretamente com a DEK em texto plano usando AES-256-GCM
- A DEK criptografada pode ser descriptografada via API KMS Decrypt
- A DEK descriptografada recupera os dados originais
- A DEK em texto plano é apagada da memória após o uso
- O contexto de criptografia é validado durante a descriptografia
- A rotação de chaves re-criptografa as DEKs com a nova chave mestra
Perguntas frequentes
Qual a diferença entre criptografar diretamente com a AWS e usar essa técnica?
Criptografar diretamente é limitado para arquivos pequenos e mais lento. Essa técnica permite criptografar arquivos grandes de forma mais rápida e barata, fazendo menos chamadas para a AWS.
Posso usar essa técnica para arquivos muito grandes?
Sim, essa técnica é ideal para criptografar grandes volumes de dados, pois a criptografia principal acontece localmente, sem as limitações de tamanho das chamadas diretas à AWS.
É seguro guardar a chave mestra?
Sim, a chave mestra é gerenciada pela AWS em um ambiente seguro (HSM), e você controla quem pode usá-la através de políticas de acesso.
Detalhes
Descrição original do autor
Implements envelope encryption with AWS KMS, encrypting data locally with a data encryption key (DEK) and protecting that DEK with a KMS-managed key (KEK), covering the encrypt/decrypt flow, KMS key types, and security validation criteria. Use when designing key management for encrypting large or numerous data objects on AWS, or when reducing direct KMS API call volume.
Popularidade
- Estrelas no GitHub
- 35 mil
- Posição no ranking
- #5875
- Licença
- Apache-2.0
- Atualizada em
- 31/08/2026
Comentários
- …
Mais skills deste repositório
abusing-dpapi-for-credential-access
Dá ao seu agente de IA instruções prontas para uma tarefa específica, para ele fazer melhor e mais rápido.
mukul975/Anthropic-Cybersecurity-Skills
abusing-shadow-credentials-for-privesc
Ensina seu agente de IA a escrever textos claros e bem estruturados.
mukul975/Anthropic-Cybersecurity-Skills
achieving-cmmc-level-2-compliance
Ajuda seu agente a preparar um ambiente para conformidade com CMMC Nível 2. Ele implementa requisitos de segurança e gerencia a documentação necessária.
mukul975/Anthropic-Cybersecurity-Skills
acquiring-disk-image-with-dd-and-dcfldd
Ajuda seu agente a criar cópias exatas de discos rígidos. Isso é útil para garantir que nenhuma informação seja perdida ou alterada durante investigações.
mukul975/Anthropic-Cybersecurity-Skills
Skills parecidas
bun-runtime
Faz seu agente usar o Bun para rodar, organizar e testar código. Ajuda a escolher o Bun em vez de outras ferramentas e a migrar projetos existentes.
affaan-m/ECC
database-migrations
Ajuda seu agente a fazer mudanças seguras em bancos de dados. Ele garante que as alterações possam ser desfeitas e minimiza o tempo de inatividade.
affaan-m/ECC
deployment-patterns
Configura fluxos de implantação e CI/CD, containerização e estratégias de rollback para garantir lançamentos seguros.
affaan-m/ECC