AWS European Trust Service Provider

Im vergangenen Monat hat AWS Pläne zur Einführung einer dedizierten europäischen Zertifizierungsstelle (CA) oder eines Trust Service Providers angekündigt, um den autonomen Betrieb von Trust Services innerhalb der AWS European Sovereign Cloud zu unterstützen.

AWS baut die erste AWS-Region der AWS European Sovereign Cloud in Potsdam im Bundesland Brandenburg auf. AWS-Services werden für den autonomen Betrieb in der AWS European Sovereign Cloud bereitgestellt, konfiguriert und getestet.

Die Infrastruktur der AWS European Sovereign Cloud wird physisch und logisch von anderen Regionen getrennt sein. Die AWS European Sovereign Cloud soll keine kritischen Abhängigkeiten von Infrastrukturen außerhalb der EU haben. Alles, was für den Betrieb der AWS European Sovereign Cloud benötigt wird, befindet sich in der EU: die Talente, die Technologie, die Infrastruktur und die Führung.

Zusätzlich zur unabhängigen Infrastruktur wird es keine operative Kontrolle außerhalb der EU-Grenzen geben. Nur AWS-Mitarbeiter mit Wohnsitz in der EU werden den täglichen Betrieb kontrollieren, einschließlich des Zugriffs auf Rechenzentren, des technischen Supports und des Kundendienstes für die AWS European Sovereign Cloud.

Zum ersten Mal wird AWS einen dedizierten souveränen europäischen Vertrauensdienstleister (EU-TSP) bereitstellen. Dieser EU-TSP wird seine eigenen Certificate Authority (CA) Schlüsselmaterialien autonom betreiben und Zertifikatsausstellungsfunktionen innerhalb der AWS European Sovereign Cloud ausführen. Ein Vertrauensdienstleister ist eine Einrichtung, die die Richtlinien und den Betrieb einer Reihe von Stamm- und untergeordneten Zertifizierungsstellen verwaltet.

Eine Root CA ist ein kryptografischer Baustein und eine Vertrauensbasis, auf der Endentitätszertifikate ausgestellt werden können. Sie stellt einen privaten Schlüssel zum Signieren (Ausstellen) von Zertifikaten und ein Stammzertifikat dar, das die Stamm-CA identifiziert und den privaten Schlüssel an den Namen der CA bindet. Kurz gesagt, der EU-TSP ist ein autonomer Vertrauensdienstleister in Europa für Europa.

Der EU-TSP wird die öffentliche Vertrauensbasis für die AWS European Sovereign Cloud sein und dazu beitragen, die Vertraulichkeit und Integrität der Netzwerkkommunikation zu gewährleisten. Der EU-TSP wird die Standard-CA bereitstellen, die von AWS-Service-Endpunkten, AWS Certificate Manager (ACM) und ACM-integrierten Diensten verwendet wird. Für Kunden der AWS European Sovereign Cloud bedeutet dies, dass der EU-TSP auch im Falle eines erheblichen Verbindungsverlusts außerhalb der EU weiterhin autonom Vertrauensdienste bereitstellen wird.

AWS hat kürzlich die kryptografische Schlüsselunterzeichnungszeremonie für den EU-TSP an einem sicheren Standort in der EU unter Aufsicht externer, unabhängiger Prüfer abgeschlossen. Die daraus resultierenden Stamm-Zertifizierungsstellen wurden zur Aufnahme in gängige Webbrowser, die von AWS-Kunden verwendet werden, eingereicht. Dieser EU-TSP wird gemäß den Anforderungen des Certificate Authority/Browser Forum betrieben.

Das gesamte Schlüsselmaterial für den EU-TSP befindet sich innerhalb der EU-Grenzen, und nur EU-Bürger haben die Möglichkeit, den EU-TSP zu betreiben, zu kontrollieren oder neu zu konfigurieren.

Um ein nachweisbares Vertrauen aufrechtzuerhalten, wird AWS unabhängige Prüfer mit Sitz in der EU beauftragen, um sicherzustellen, dass die Kontrollen des EU-TSP angemessen gestaltet sind, effektiv funktionieren und Kunden dabei helfen können, ihre Compliance-Verpflichtungen zu erfüllen. AWS wird die Prüfungsberichte öffentlich zugänglich machen.

Der EU-TSP wird aktiv sein und autonome Vertrauensdienste bereitstellen, wenn die AWS European Sovereign Cloud Ende 2025 eingeführt wird.

AWS is building out the first AWS Region of the AWS European Sovereign Cloud in the state of Brandenburg, Germany. AWS services are being deployed, configured, and tested for autonomous operations in the AWS European Sovereign Cloud. The AWS European Sovereign Cloud infrastructure will be physically and logically separate from other Regions. The AWS European Sovereign Cloud is to have no critical dependencies on non-EU infrastructure. Everything needed to operate the AWS European Sovereign Cloud is in the EU: the talent, the technology, the infrastructure, and the leadership.

In addition to independent infrastructure, there will be zero operational control outside of EU borders. Only AWS employees, residing in the EU, will control day-to-day operations, including access to data centers, technical support, and customer service for the AWS European Sovereign Cloud.

For the first time, AWS will provide a dedicated sovereign European trust service provider (EU-TSP). This EU-TSP will autonomously operate its own CA key materials and perform certificate issuance functions within the AWS European Sovereign Cloud. A trust service provider is an entity that manages the policies and operations for a set of root and subordinate certificate authorities. A root CA is a cryptographic building block and root of trust upon which end entity certificates can be issued. It represents a private key for signing (issuing) certificates and a root certificate that identifies the root CA and binds the private key to the name of the CA. In short, the EU-TSP is an autonomous trust service provider in Europe, for Europe.

The EU-TSP will be the public root of trust for the AWS European Sovereign Cloud, helping to maintain the confidentiality and integrity of network communications. The EU-TSP will provide the default CA used by AWS service endpoints, AWS Certificate Manager (ACM), and ACM integrated services. For AWS European Sovereign Cloud customers, this means that even in the event of a material loss of connectivity outside of the EU, the EU-TSP will continue to provide trust services autonomously.

AWS recently completed the cryptographic key signing ceremony for the EU-TSP at a secure EU location, witnessed by external, third-party auditors. The resulting root CAs have been submitted for inclusion to popular web browsers used by AWS customers. This EU-TSP will be operated in accordance with the requirements of the Certificate Authority/Browser Forum. All the key material for the EU-TSP is located within EU borders, and only EU residents have the ability to operate, control, or reconfigure the EU-TSP.

To maintain verifiable trust, AWS will engage independent EU-based auditors to assure the EU-TSP controls are designed appropriately, operate effectively, and can help customers satisfy their compliance obligations. AWS will make the audit reports publicly available.

The EU-TSP will be active and providing autonomous trust services when the AWS European Sovereign Cloud launches at the end of 2025.