Segurança na Nuvem AWS

Federal Information Processing Standard (FIPS – Norma federal de processamento de informações) 140-3

Visão geral

O que é o FIPS 140?

A publicação 140 do Federal Information Processing Standard (FIPS) é um padrão do governo dos EUA e do Canadá que especifica os requisitos de segurança para módulos de criptografia que protegem informações confidenciais. Para obter mais informações sobre o FIPS 140 e sua terceira versão atual, conhecida como 140-3, consulte Cryptographic Module Validation Program no site do NIST Computer Security Resource Center.

Abordagem de validação do FIPS da AWS

Os módulos criptográficos que alimentam os serviços da AWS passam pela validação do FIPS em vários tipos de módulos, que estão listados abaixo com os nomes dos módulos FIPS relevantes:

Bibliotecas de software: AWS-LC (dinâmico), AWS-LC (estático), AWS OpenSSL FIPS (baseado no provedor OpenSSL FIPS)
Bibliotecas de sistemas operacionais: Amazon Linux Kernel Cryptographic API, Amazon Linux OpenSSL FIPS Provider, Amazon Linux GnuTLS, Amazon Linux NSS, Amazon Linux Libgcrypt
Módulos de segurança de hardware (HSMs): AWS Key Management Service HSM, AWS CloudHSM (família Marvell LS2 HSM)
Rede óptica: AWS Encryption Module e AWS Scalable Network Crypto
Armazenamento Nitro em repouso: AWS Nitro Card Security Engine SSMAE, AWS Nitro Ethernet Storage Encryption (ESE) Engine
Rede da VPC do Nitro: rede do AWS Nitro

Devido à natureza cíclica do processo de validação do FIPS, validar -> atualizar -> validar novamente, os nomes dos módulos acima podem ser encontrados em vários estágios em um ou mais dos seguintes locais: a página de pesquisa do FIPS Cryptographic Module Validation Program (CMVP), a lista de módulos em processo e a lista de implementação em teste. A AWS segue uma metodologia de fluxo de atualização para manter os módulos FIPS, alinhada à política do FedRAMP para seleção e uso de módulos criptográficos. Com essa abordagem, aplicamos as atualizações e patches mais recentes aos nossos módulos criptográficos validados pelo FIPS que operam no modo aprovado pelo FIPS, ao mesmo tempo em que enviamos as principais atualizações por meio do processo de validação formal.

Todas as soluções criptográficas são globais, exceto endpoints FIPS para criptografia em trânsito (somente nas regiões comerciais dos EUA, GovCloud e Canadá).

Criptografia de dados em trânsito

Endpoints FIPS

Os endpoints FIPS fornecem criptografia em trânsito usando bibliotecas criptográficas validadas pelo FIPS. Eles garantem que as comunicações entre os serviços da AWS e as aplicações do cliente usem módulos criptográficos certificados pela CMVP e operando no modo aprovado pelo FIPS. Todos os endpoints FIPS listados nesta página utilizam criptografia da versão mais recente do AWS-LC (dinâmica), que passa pela validação regular do FIPS para cada nova versão principal lançada. Mais informações sobre o AWS-LC podem ser encontradas nesta publicação do blog de segurança da AWS.

AWS Site-to-Site óptico

Todos os dados que passam pela rede global da AWS que conecta nossos data centers e regiões é criptografado automaticamente na camada física antes de sair de nossas instalações protegidas. Esses dispositivos de borda de criptografia MACsec habilitados para AES256 usam criptografia das validações do AWS Scalable Network Crypto e do AWS Encryption Module na lista de módulos em processo, bem como módulos FIPS do fabricante original do equipamento (OEM) de outros fornecedores.

AWS Client VPN e Site-to-Site VPN

O AWS Client VPN e o Site-to-Site VPN usam criptografia da versão mais recente do AWS-LC (estático) e do kernel Amazon Linux 2023, ambos submetidos à validação regular do FIPS. Os endpoints do AWS Site-to-Site VPN usam AWS-LC para IKEv2 e o kernel Amazon Linux 2023 para operações IPsec, enquanto o AWS Client VPN usa AWS-LC para criptografia do lado do servidor.

HSMs (proteção de chaves) validados pelo FIPS

Os módulos de segurança de hardware (HSMs) validados pelo FIPS, como o AWS Key Management Service (KMS) ou o AWS CloudHSM, usam HSMs físicos que foram validados de forma independente pelo Cryptographic Module Validation Program (CMVP) no FIPS 140-3 de nível 3. Esses serviços protegem as chaves dentro de um limite inviolável, no qual as chaves de texto sem formatação não podem ser exportadas.

AWS Key Management Service (AWS KMS)

O AWS KMS usa HSMs que são validados pelo FIPS 140-3 de nível 3 ou estão em processo de validação. Os módulos operam exclusivamente no modo aprovado pelo FIPS ao fornecer funcionalidade ao KMS. Cada versão de produção de um HSM no KMS passa pela validação do FIPS 140.

Nível de validação: FIPS 140-3 nível 3
Mais informações: Recursos do AWS Key Management Service → Seguro

AWS CloudHSM

^{⚠️ AVISO IMPORTANTE DE MIGRAÇÃO
Em 4 de janeiro de 2026, o certificado de hsm1.medium foi transferido para a lista histórica do CMVP. Os clientes devem migrar para o tipo de instância hsm2m.medium.}

O AWS CloudHSM fornece HSMs dedicados e de locatário único que são certificados pela CMVP e operam no modo aprovado pelo FIPS

Nível de validação: FIPS 140-3 nível 3
Mais informações: Validação FIPS do AWS CloudHSM

Criptografia de dados em repouso

Nossos serviços básicos de armazenamento representam os maiores locais de dados armazenados em repouso na AWS, sendo utilizados tanto por clientes quanto por outros serviços da AWS. Eles utilizam a versão mais recente das bibliotecas testada pelo FIPS na página FIPS Modules in Process ou na lista de validações concluídas do FIPS para AWS:

Amazon S3: todos os modos de operação (SSE-S3, SSE-KMS, SSE-C, DSSE-KMS, S3 Bucket Keys) usam AWS-LC (estático) para criptografia do lado do servidor.
Amazon DynamoDB: todos os modos de operação usam AWS-LC (estático) para criptografia do lado do servidor.
Amazon Elastic Block Store (EBS): as instâncias do Nitro criptografam volumes do EBS usando o Nitro Card Security Engine (SSMAE), exceto as instâncias que suportam o NVMR Direct (por exemplo, instâncias C8GB, M8GB, R8GB) que usam o mecanismo Nitro Ethernet Storage Encryption (ESE).
Amazon EC2 Nitro: as instâncias do Nitro usam o AWS Nitro Card Security Engine SSMAE para criptografia do lado do servidor.

Sistemas operacionais

Modo FIPS do Amazon Linux

O Amazon Linux (AL) fornece suporte ao modo FIPS para clientes que exigem operações criptográficas compatíveis no nível do sistema operacional, incluindo criptografia do kernel e do espaço do usuário. Mais informações:

Endpoints FIPS por serviço

Última atualização: 8 de maio de 2026

Recursos adicionais

A AWS trabalha com os clientes para fornecer as informações necessárias para gerenciar a conformidade do uso das regiões da AWS Leste/Oeste dos EUA, AWS GovCloud (EUA) ou AWS Canadá (Central/Oeste).

Para perguntas sobre os programas e certificações de conformidade da AWS, entre em contato com sua equipe de contas da AWS ou acesse a página dos Programas de conformidade da AWS. Informações adicionais específicas do serviço podem ser encontradas no Artifact, no Console da AWS.

Perguntas frequentes

Onde posso encontrar todos os Endpoints da AWS?

Para obter uma lista de todos os endpoints da AWS, consulte Regiões e Endpoints na Referência geral da AWS. Para obter informações sobre como conceder acesso de conexão única para usuários federados ao Console de Gerenciamento da AWS, consulte Conceder acesso ao Console de Gerenciamento da AWS para usuários federados.

Onde posso encontrar endpoints do AWS GovCloud (EUA) (que não são FIPS)?

Para obter uma lista de endpoints da AWS, consulte Visualizar os endpoints de serviços, na Referência geral da AWS.