EC2 verfügt jetzt über eine 2-Faktor-Authentifizierung für seine Dienste, was ein wichtiger erster Schritt ist.
Alles, was auf einem Cloud-Dienst gehostet wird, den Sie nicht besitzen, sollte bestenfalls als unsicher angesehen werden.
Der Grund dafür ist, dass Sie eine virtuelle Maschine mit gemeinsam genutztem Speicher und gemeinsam genutzten Ressourcen haben. Mit EC2 wissen Sie nicht, wo sich die Daten befinden oder wie sie effektiv gespeichert werden. Möglicherweise stellen Sie fest, dass Ihr VPS mit anderen VPS anderer Organisationen geteilt wird.
Wenn Sie also Finanzdaten auf EC2 in einem EBS-Laufwerk speichern möchten, sollten Sie diese verschlüsseln.
Obwohl Sie vielleicht denken, dass dies sicher ist, sind Sie nur so sicher wie Ihr schwächstes Glied.
Um eine andere Quelle zu zitieren, weil er es gut sagt.
... aber VM-Instanzen teilen häufig physische Hardware mit anderen Instanzen, und da EC2 ein öffentlicher Dienst ist, sind diese gemeinsam residenten VMs möglicherweise nicht ganz freundlich. Die größte Bedrohung sind natürlich Software-Schwachstellen - Dinge, die einen Angreifer von einer VM in eine andere ausbrechen lassen können. Aber selbst wenn Sie die Software perfektionieren, gibt es eine weitere heimtückischere Bedrohung: nämlich, dass die Angreifer-VM-Instanz einen Seitenkanalangriff auf die mitresidente VM ausführen kann .
Dies würde die 2-Faktor-Authentifizierung gegen diese Art von Angriff unbrauchbar machen.
Wenn du damit leben kannst, wie machst du das?
Diese Frage / Antwort zum Stackoverflow bietet Ihnen einige Antworten zur Verwendung von Google Authenticator, einem der besseren.
Es gibt jedoch viele 2-Faktor-Authentifizierungsoptionen. Einige erfordern Hardware-Schlüsselanhänger, andere wie Google Authenticator verwenden Ihr Mobiltelefon. Die Bank oder das Finanzinstitut kann tatsächlich vorschreiben, welche 2-Faktor-Authentifizierungsmethode sie zulassen.
OpenID ist insofern eine großartige Idee, als Sie sich mit Ihrer openid bei vielen Diensten anmelden können. Es ist aber auch fehlerhaft, weil es einem einzelnen Login ermöglicht, auf viele Dinge zuzugreifen. Ein schnelles Google und ich fanden http://wikid.com/ , das OpenID und 2-Faktor-Authentifizierung verwendet. Ich würde zögern, es in Ihrem speziellen Fall zu verwenden.
Akzeptieren Sie übrigens Zahlungen von Kreditkarten? Möglicherweise müssen Sie PCI- kompatibel sein, und ich bin mir nicht ganz sicher, ob Sie auf einer EC2-Instanz kompatibel sein können. Sie sind ziemlich streng, aber aus gutem Grund. Es gibt Möglichkeiten, Ihre Risiken zu verringern, indem Sie Kartenzahlungen nicht direkt akzeptieren und keine Kreditkartendaten speichern, sondern einen Zahlungsdienst eines Drittanbieters in Anspruch nehmen, mit dem Ihre Website interagieren kann.
Wenn Sie ein Händler sind, der Zahlungskarten akzeptiert, müssen Sie den PCI Data Security Standard einhalten. Ihre genauen Compliance-Anforderungen können Sie nur von Ihrer Zahlungsmarke oder Ihrem Acquirer erfahren. Bevor Sie jedoch Maßnahmen ergreifen, möchten Sie möglicherweise Hintergrundinformationen und ein allgemeines Verständnis dessen, was Sie tun müssen, anhand der Informationen und Links hier erhalten.