He estado buscando implementar aws_encryption_sdk en una lambda para tratar con archivos cifrados que se cargan en un depósito s3.
He podido hacer que funcione descargando el archivo en el directorio /tmp (dando al archivo un nombre único), descifrando el archivo en el mismo directorio y luego cargando el archivo descifrado nuevamente en s3. También estoy eliminando los archivos en el sistema después de que se haya completado la operación, pero antes de salir de la lambda
Si bien el uso del sistema de archivos es un caso de uso común, me preocupa el uso del directorio /tmp y su seguridad.
¿Alguien puede aconsejarme si debo preocuparme? ¿Qué tan exclusivo es el sistema de archivos cuando enciende Lambdas?
Gracias
Es algo seguro usar /tmp en Lambda, lo que significa que su carpeta /tmp no se compartirá con otros clientes de AWS. Al mismo tiempo:
/tmp . Dado que AWS Lambda no proporciona acceso de bloque de bajo nivel al disco subyacente, es lo suficientemente seguro, pero no de grado militar. Se borra la memoria RAM:Lambda limpia la memoria antes de asignarla a un entorno de ejecución, lo que protege eficazmente contra el uso compartido de memoria entre funciones que pertenecen a la misma cuenta y diferentes cuentas de clientes.
Entonces, para aplicaciones de alta seguridad, podría considerar mantener su contenido descifrado en la memoria.
/tmp no se vuelve a crear/borrar en cada invocación de Lambda. Todo lo contrario, si su Lambda se ejecuta varias veces en un período corto de tiempo, las invocaciones se ejecutarán en el mismo contexto y se conservará el contenido de /tmp . Esa es una característica , no un error.Después de que se ejecuta una función de Lambda, AWS Lambda mantiene el contexto de ejecución durante algún tiempo antes de que se invoque otra función de Lambda.
Cada contexto de ejecución proporciona 512 MB de espacio adicional en disco en el directorio /tmp. El contenido del directorio permanece cuando el contexto de ejecución se congela, lo que proporciona un caché transitorio que se puede usar para varias invocaciones. Puede agregar un código adicional para verificar si el caché tiene los datos que almacenó.
Si realmente le importa el aspecto de seguridad de Lambda, le sugiero que lea el documento técnico Descripción general de la seguridad de AWS Lambda: una mirada en profundidad a la seguridad de Lambda .