Seguridad en la nube de AWS

Estándar de procesamiento de la información federal (FIPS) 140-3

Información general

¿Qué es FIPS 140?

La publicación 140 del Estándar de procesamiento de la información federal (FIPS) es un estándar de los gobiernos de EE. UU. y Canadá que especifica los requisitos de seguridad para los módulos criptográficos que protegen información confidencial. Para obtener más información sobre FIPS 140 y su tercera versión actual, denominada 140-3, consulte Cryptographic Module Validation Program en el sitio web del Centro de recursos de seguridad informática del NIST.

Enfoque de validación de FIPS de AWS

Los módulos criptográficos que impulsan los servicios de AWS se someten a la validación de FIPS en varios tipos de módulos, que se enumeran a continuación con los nombres de los módulos FIPS correspondientes:

Bibliotecas de software: AWS-LC (dynamic), AWS-LC (static), AWS OpenSSL FIPS (basado en OpenSSL FIPS Provider)
Bibliotecas de sistemas operativos: Amazon Linux Kernel Cryptographic API, Amazon Linux OpenSSL FIPS Provider, Amazon Linux GnuTLS, Amazon Linux NSS, Amazon Linux Libgcrypt
Módulos de seguridad de hardware (HSM): AWS Key Management Service HSM, AWS CloudHSM (Marvell LS2 HSM Family)
Redes ópticas: AWS Encryption Module y AWS Scalable Network Crypto
Almacenamiento Nitro en reposo: AWS Nitro Card Security Engine SSMAE, AWS Nitro Ethernet Storage Encryption (ESE) Engine
Redes Nitro VPC: AWS Nitro Networking

Debido a la naturaleza cíclica del proceso de validación de FIPS (validar -> actualizar -> validar nuevamente), los nombres de los módulos anteriores se pueden encontrar en varias etapas en una o más de las siguientes ubicaciones: la página de búsqueda del FIPS Cryptographic Module Validation Program (CMVP), la Modules in Process List y la Implementation Under Test List. AWS sigue una metodología de flujo de actualizaciones para mantener los módulos FIPS, en consonancia con la Política FedRAMP para la selección y el uso de módulos criptográficos. Con este enfoque, aplicamos las actualizaciones y los parches más recientes a nuestros módulos criptográficos validados por FIPS que funcionan en modo aprobado por FIPS, mientras enviamos las actualizaciones principales mediante el proceso de validación formal.

Todas las soluciones criptográficas son globales, excepto los puntos de enlace FIPS para el cifrado en tránsito (solo en las regiones US Commercial, GovCloud y Canadá).

Cifrado de datos en tránsito

Puntos de enlace FIPS

Los puntos de enlace FIPS proporcionan cifrado en tránsito mediante bibliotecas criptográficas validadas por FIPS. Garantizan que las comunicaciones entre los servicios de AWS y las aplicaciones de los clientes utilicen módulos criptográficos certificados por CMVP que funcionan en modo aprobado por FIPS. Todos los puntos de enlace FIPS que aparecen en esta página utilizan criptografía de la versión más reciente de AWS-LC (dinámica), que se somete a una validación FIPS regular para cada nueva versión principal publicada. Puede encontrar más información sobre AWS-LC en esta publicación del blog de AWS Security.

AWS Site-to-Site Optical

Todos los datos que circulan por la red global de AWS, que interconecta nuestros centros de datos y regiones, se cifran automáticamente en la capa física antes de salir de nuestras instalaciones seguras. Estos dispositivos perimetrales de criptografía MACsec compatibles con AES256 utilizan la criptografía de las validaciones de AWS Encryption Module y AWS Scalable Network Crypto en la Modules in Process List, así como módulos FIPS Original Equipment Manufacturer (OEM) de otros proveedores.

AWS Client VPN y AWS Site-to-Site VPN

AWS Client VPN y AWS Site-to-Site VPN utilizan criptografía de la versión más reciente de AWS-LC (estática) y del kernel de Amazon Linux 2023, ambos sometidos a validación FIPS regular. Los puntos de enlace de AWS Site-to-Site VPN utilizan AWS-LC para IKEv2 y el kernel de Amazon Linux 2023 para las operaciones de IPsec, mientras que AWS Client VPN utiliza AWS-LC para el cifrado del lado del servidor.

HSM validados por FIPS (protección de claves)

Los módulos de seguridad de hardware (HSM) validados por FIPS, como AWS Key Management Service (KMS) o AWS CloudHSM, utilizan HSM físicos validados de forma independiente en el marco del Cryptographic Module Validation Program (CMVP) en el nivel 3 de FIPS 140-3. Estos servicios protegen las claves dentro de un límite resistente a manipulaciones, donde no se pueden exportar las claves en texto sin formato.

AWS Key Management Service (AWS KMS)

AWS KMS utiliza HSM validados por FIPS 140-3 nivel 3 o que están en proceso de validación. Los módulos funcionan exclusivamente en modo aprobado por FIPS cuando proporcionan funcionalidad a KMS. Cada versión de producción de un HSM en KMS se somete a la validación de FIPS 140.

Nivel de validación: FIPS 140-3 nivel 3
Más información: funciones de AWS Key Management Service → Seguro

AWS CloudHSM

^{⚠️ AVISO IMPORTANTE DE MIGRACIÓN
El 4 de enero de 2026, el certificado de hsm1.medium pasó a la lista histórica del CMVP. Los clientes deben migrar al tipo de instancia hsm2m.medium.}

AWS CloudHSM proporciona HSM dedicados de inquilino único con certificación CMVP que funcionan en modo aprobado por FIPS

Nivel de validación: FIPS 140-3 nivel 3
Más información: AWS CloudHSM FIPS Validation

Cifrado de datos en reposo

Nuestros servicios de almacenamiento básicos representan los mayores volúmenes de datos almacenados en reposo en AWS, y los aprovechan tanto los clientes como otros servicios de AWS. Utilizan la versión más reciente de las bibliotecas sometidas a pruebas FIPS, procedentes de la página FIPS Modules in Process o de la lista de validaciones FIPS de AWS completadas:

Amazon S3: todos los modos de operación (SSE-S3, SSE-KMS, SSE-C, DSSE-KMS, S3 Bucket Keys) utilizan AWS-LC (Static) para el cifrado del lado del servidor.
Amazon DynamoDB: todos los modos de operación utilizan AWS-LC (Static) para el cifrado del lado del servidor.
Amazon Elastic Block Store (EBS): las instancias Nitro cifran los volúmenes de EBS mediante AWS Nitro Card Security Engine (SSMAE), excepto las instancias que admiten NVMR Direct (por ejemplo, las instancias C8gb, M8gb y R8gb), que utilizan AWS Nitro Ethernet Storage Encryption (ESE) Engine.
Amazon EC2 Nitro: las instancias Nitro utilizan AWS Nitro Card Security Engine SSMAE para el cifrado del lado del servidor.

Sistemas operativos

Modo FIPS de Amazon Linux

Amazon Linux (AL) admite el modo FIPS para los clientes que requieren operaciones criptográficas conformes a nivel del sistema operativo, lo que incluye criptografía tanto del kernel como del espacio de usuario. Más información:

Puntos de conexión de FIPS por servicio

Última actualización: 8 de mayo de 2026

Recursos adicionales

AWS trabaja con sus clientes para proporcionarles la información que necesitan para gestionar el cumplimiento al utilizar las regiones AWS US East/West, AWS GovCloud (EE. UU.) o AWS Canada (Centro/Oeste).

Si tiene preguntas sobre los programas de cumplimiento y las certificaciones de AWS, póngase en contacto con su equipo de cuentas de AWS o visite la página de los programas de cumplimiento de AWS. Puede encontrar información adicional específica de cada servicio en Artifact desde la Consola de AWS.

Preguntas frecuentes

¿Dónde puedo encontrar todos los puntos de conexión de AWS?

Para ver una lista de todos los puntos de conexión de AWS, consulte Regiones y puntos de conexión en la Referencia general de AWS. Para obtener información sobre cómo dar a los usuarios federados acceso de inicio de sesión único a la Consola de administración de AWS, consulte Cómo dar a los usuarios federados acceso directo a la Consola de administración de AWS.

¿Dónde puedo encontrar puntos de conexión de AWS GovCloud (EE. UU.) (que no sean FIPS)?

Para ver una lista de todos los puntos de conexión de AWS, consulte Ver los puntos de conexión de servicio en la Referencia general de AWS.