Mecanismos compatibles con la biblioteca PKCS #11 del AWS CloudHSM Cliente SDK 5 - AWS CloudHSM

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Mecanismos compatibles con la biblioteca PKCS #11 del AWS CloudHSM Cliente SDK 5

La biblioteca PKCS #11 es compatible con la versión 2.40 de la especificación PKCS #11. Para invocar una función criptográfica mediante PKCS #11, llame a una función con un mecanismo determinado. En las siguientes secciones se resumen las combinaciones de funciones y mecanismos compatibles AWS CloudHSM con el Cliente 5. SDK

La biblioteca PKCS #11 admite los siguientes algoritmos:

  • Cifrado y descifrado: AES -CBC, AES -CTR, AES -ECB, AES -GCM, DES3 -CBC, DES3 -ECB, RSA -OAEP, y RSA - PKCS

  • Firma y verifica —RSA,HMAC, yECDSA; con y sin hash

  • Hash/digest —SHA1,,SHA224, y SHA256 SHA384 SHA512

  • Key Wrap: AES Key Wrap 1, AES - GCMAES, RSA - y - RSA OAEP

Generación de funciones de claves y pares de claves

La biblioteca de AWS CloudHSM software de la biblioteca PKCS #11 le permite utilizar los siguientes mecanismos para las funciones de generación de claves y pares de claves.

  • CKM_RSA_PKCS_KEY_PAIR_GEN

  • CKM_RSA_X9_31_KEY_PAIR_GENEste mecanismo es funcionalmente idéntico al mecanismo CKM_RSA_PKCS_KEY_PAIR_GEN, pero ofrece más garantías en la generación de p y q.

  • CKM_EC_KEY_PAIR_GEN

  • CKM_GENERIC_SECRET_KEY_GEN

  • CKM_AES_KEY_GEN

  • CKM_DES3_KEY_GEN próximo cambio en la nota a pie de página 5.

Firma y comprobación de las funciones

La biblioteca de AWS CloudHSM software de la biblioteca PKCS #11 le permite utilizar los siguientes mecanismos para las funciones de firma y verificación. Con Client SDK 5, los datos se codifican localmente en el software. Esto significa que no hay límite en cuanto al tamaño de los datos que puede procesar. SDK

Con el Cliente SDK 5RSA, el ECDSA hash se realiza de forma local, por lo que no hay límite de datos. ConHMAC, hay un límite de datos. Consulte la nota a pie de página 2 para obtener más información.

RSA

  • CKM_RSA_X_509

  • CKM_RSA_PKCS Únicamente para operaciones de una sola parte.

  • CKM_RSA_PKCS_PSS Únicamente para operaciones de una sola parte.

  • CKM_SHA1_RSA_PKCS

  • CKM_SHA224_RSA_PKCS

  • CKM_SHA256_RSA_PKCS

  • CKM_SHA384_RSA_PKCS

  • CKM_SHA512_RSA_PKCS

  • CKM_SHA512_RSA_PKCS

  • CKM_SHA1_RSA_PKCS_PSS

  • CKM_SHA224_RSA_PKCS_PSS

  • CKM_SHA256_RSA_PKCS_PSS

  • CKM_SHA384_RSA_PKCS_PSS

  • CKM_SHA512_RSA_PKCS_PSS

ECDSA

  • CKM_ECDSA Únicamente para operaciones de una sola parte.

  • CKM_ECDSA_SHA1

  • CKM_ECDSA_SHA224

  • CKM_ECDSA_SHA256

  • CKM_ECDSA_SHA384

  • CKM_ECDSA_SHA512

HMAC

  • CKM_SHA_1_HMAC2

  • CKM_SHA224_HMAC2

  • CKM_SHA256_HMAC2

  • CKM_SHA384_HMAC2

  • CKM_SHA512_HMAC2

CMAC

  • CKM_AES_CMAC

Funciones de recuperación de firma y recuperación de verificación

El cliente SDK 5 no admite las funciones Sign Recover y Verify Recover.

Funciones Digest

La biblioteca de AWS CloudHSM software de la biblioteca PKCS #11 permite utilizar los siguientes mecanismos para las funciones Digest. Con Client SDK 5, los datos se codifican localmente en el software. Esto significa que no hay límite en cuanto al tamaño de los datos que puede procesar. SDK

  • CKM_SHA_1

  • CKM_SHA224

  • CKM_SHA256

  • CKM_SHA384

  • CKM_SHA512

Funciones de cifrado y descifrado

La biblioteca de AWS CloudHSM software de la biblioteca PKCS #11 le permite utilizar los siguientes mecanismos para las funciones de cifrado y descifrado.

  • CKM_RSA_X_509

  • CKM_RSA_PKCS Únicamente para operaciones de una sola parte Próximo cambio en la nota a pie de página 5.

  • CKM_RSA_PKCS_OAEP Únicamente para operaciones de una sola parte.

  • CKM_AES_ECB

  • CKM_AES_CTR

  • CKM_AES_CBC

  • CKM_AES_CBC_PAD

  • CKM_DES3_CBC próximo cambio en la nota a pie de página 5.

  • CKM_DES3_ECB próximo cambio en la nota a pie de página 5.

  • CKM_DES3_CBC_PAD próximo cambio en la nota a pie de página 5.

  • CKM_AES_GCM 1, 2

  • CKM_CLOUDHSM_AES_GCM3

Derivación de funciones de claves

La biblioteca AWS CloudHSM de software de la biblioteca PKCS #11 le permite utilizar los siguientes mecanismos para las funciones de Derive.

  • CKM_SP800_108_COUNTER_KDF

Funciones de encapsulado y desencapsulado

La biblioteca de AWS CloudHSM software de la biblioteca PKCS #11 le permite utilizar los siguientes mecanismos para las funciones Wrap y Unwrap.

Para obtener información adicional sobre el empaquetado de AES claves, consulte Empaquetado de AES claves.

  • CKM_RSA_PKCS Únicamente para operaciones de una sola parte. Próximo cambio en la nota a pie de página 5.

  • CKM_RSA_PKCS_OAEP4

  • CKM_AES_GCM1, 3

  • CKM_CLOUDHSM_AES_GCM3

  • CKM_RSA_AES_KEY_WRAP

  • CKM_CLOUDHSM_AES_KEY_WRAP_NO_PAD3

  • CKM_CLOUDHSM_AES_KEY_WRAP_PKCS5_PAD3

  • CKM_CLOUDHSM_AES_KEY_WRAP_ZERO_PAD3

Tamaño máximo de datos para cada mecanismo

En la tabla siguiente, se muestra el tamaño máximo de datos establecido para cada mecanismo:

Tamaño máximo de datos
Mecanismo Tamaño máximo de datos en bytes
CKM_SHA_1_HMAC 16288
CKM_SHA224_HMAC 16256
CKM_SHA256_HMAC 16288
CKM_SHA384_HMAC 16224
CKM_SHA512_HMAC 16224
CKM_AES_CBC 16272
CKM_AES_GCM 16224
CKM_CLOUDHSM_AES_GCM 16224
CKM_DES3_CBC 16280

Notas del mecanismo

  • [1] Al realizar AES el GCM cifrado, HSM no acepta los datos del vector de inicialización (IV) de la aplicación. Debe utilizar un vector de inicialización generado. El IV de 12 bytes proporcionado por el HSM se escribe en la referencia de memoria a la que apunta el elemento PiV de CK_GCM_PARAMS la estructura de parámetros que usted proporciona. Para evitar confusiones entre los usuarios, PKCS #11 SDK en la versión 1.1.1 y posteriores garantiza que el PiV apunte a un búfer puesto a cero AES cuando se GCM inicialice el cifrado.

  • [2] Cuando se opera con datos mediante cualquiera de los mecanismos siguientes, si el búfer de datos supera el tamaño máximo de datos, la operación produce un error. Para estos mecanismos, todo el procesamiento de datos debe realizarse dentro del. HSM Para obtener más información sobre los tamaños máximos de conjuntos de datos para cada mecanismo, consulte Tamaño máximo de datos para cada mecanismo.

  • [3] mecanismo definido por el proveedor. Para poder utilizar los mecanismos definidos por el HSM proveedor de la nube, las aplicaciones PKCS #11 deben incluirse /opt/cloudhsm/include/pkcs11t.h durante la compilación.

    CKM_CLOUDHSM_AES_GCM: este mecanismo exclusivo es una alternativa programáticamente segura del estándar CKM_AES_GCM. Añade el IV generado por el texto cifrado al texto cifrado en lugar de volver HSM a escribirlo en la CK_GCM_PARAMS estructura que se proporciona durante la inicialización del cifrado. Puede utilizar este mecanismo con las funciones C_Encrypt, C_WrapKey, C_Decrypt y C_UnwrapKey. Cuando se utiliza este mecanismo, la variable pIV de la estructura CK_GCM_PARAMS debe establecerse en NULL. Cuando se utiliza este mecanismo con C_Decrypt y C_UnwrapKey, se espera que el IV se anteponga al texto cifrado que se está desencapsulando.

    CKM_CLOUDHSM_AES_KEY_WRAP_PKCS5_PAD: AES Envoltorio de teclas con relleno #5. PKCS

    CKM_CLOUDHSM_AES_KEY_WRAP_ZERO_PAD: Envoltorio AES para llaves sin relleno.

  • [4] Los siguientes CK_MECHANISM_TYPE y CK_RSA_PKCS_MGF_TYPE se admiten como CK_RSA_PKCS_OAEP_PARAMS para CKM_RSA_PKCS_OAEP:

    • CKM_SHA_1 con CKG_MGF1_SHA1

    • CKM_SHA224 con CKG_MGF1_SHA224

    • CKM_SHA256 con CKG_MGF1_SHA256

    • CKM_SHA384 con CKM_MGF1_SHA384

    • CKM_SHA512 con CKM_MGF1_SHA512

  • [5] De acuerdo con las NIST directrices, esto no está permitido para los clústeres en FIPS modo después de 2023. En el caso de los clústeres que no estén en FIPS modo, se seguirá permitiendo después de 2023. Para obtener más información, consulte FIPS140 Cumplimiento: obsolescencia del mecanismo en 2024.