Creación de una clave de KMS

El tipo de clave es una propiedad que determina el tipo de clave criptográfica que se crea. AWS KMS ofrece tres tipos de claves para proteger los datos:

El uso de claves es una propiedad que determina las operaciones criptográficas que admite la clave. KMSlas claves pueden tener un uso de clave deENCRYPT_DECRYPT, SIGN_VERIFYGENERATE_VERIFY_MAC, oKEY_AGREEMENT. Cada KMS clave solo puede tener un uso de clave. El uso de una KMS clave para más de un tipo de operación hace que el producto de ambas operaciones sea más vulnerable a los ataques.

La especificación de clave es una propiedad que representa la configuración criptográfica de la clave. El significado de la especificación de clave difiere con el tipo de clave.

En el caso de KMS las claves, la especificación de la clave determina si la KMS clave es simétrica o asimétrica. También determina el tipo de su material de clave y los algoritmos que admite.

La especificación de clave predeterminada, SYMMETRIC_ DEFAULT, representa una clave de cifrado simétrica de 256 bits. Para obtener una descripción detallada de todas las especificaciones de clave compatibles, consulte Referencia de especificaciones de clave.

El origen del material de la clave es una propiedad de la KMS clave que identifica el origen del material de la clave en la clave. KMS El origen del material clave se elige al crear la KMS clave y no se puede cambiar. El origen del material clave afecta a las características de seguridad, durabilidad, disponibilidad, latencia y rendimiento de la KMS clave.

Cada KMS clave incluye una referencia a su material clave en sus metadatos. El origen del material clave de las KMS claves de cifrado simétricas puede variar. Puede utilizar el material de claves que genera AWS KMS , el material de claves que se genera en un almacén de claves personalizado, o bien importar su propio material de claves.

De forma predeterminada, cada KMS clave tiene un material clave único. Sin embargo, puede crear un conjunto de claves de varias regiones con el mismo material de claves.

KMSlas claves pueden tener uno de los siguientes valores de origen del material clave:AWS_KMS, EXTERNAL (material clave importado), AWS_CLOUDHSM (KMSclave en un almacén de AWS CloudHSM claves) o EXTERNAL_KEY_STORE (KMSclave en un almacén de claves externo).

Utilice una KMSclave simétrica para la mayoría de los casos de uso que requieran cifrar y descifrar datos. El algoritmo de cifrado simétrico que utiliza AWS KMS es rápido, eficaz y asegura la confidencialidad y la autenticidad de los datos. Admite el cifrado autenticado con datos autenticados adicionales (AAD), definidos como un contexto de cifrado. Este tipo de KMS clave requiere que tanto el remitente como el destinatario de los datos cifrados tengan AWS credenciales válidas para llamar. AWS KMS

Si su caso de uso requiere que los usuarios que no pueden llamar AWS los cifren fuera o no AWS KMS, KMSlas claves asimétricas son una buena opción. Puede distribuir la clave pública de la clave asimétrica KMS para que estos usuarios puedan cifrar los datos. Y las aplicaciones que necesiten descifrar esos datos pueden utilizar la clave privada de la clave asimétrica KMS que contiene. AWS KMS

Para firmar los mensajes y verificar las firmas, debe usar una clave asimétrica KMS. Puede utilizar una KMS clave con una especificación clave que represente un par de RSA claves, un par de claves de curva elíptica (ECC) o un par de SM2 claves (solo regiones de China). La especificación de clave que seleccione la determina el algoritmo de firma que desea utilizar. Se recomiendan los algoritmos de ECDSA firma compatibles con los pares de ECC claves en lugar de los algoritmos de RSA firma. Sin embargo, es posible que necesites usar una especificación clave y un algoritmo de firma específicos para ayudar a los usuarios a verificar las firmas fuera de AWS ellos.

Para cifrar los datos con un par de claves asimétricas, debe utilizar una clave asimétrica con una especificación de KMS clave o una SM2especificación de RSA clave (solo para las regiones de China). Para cifrar los datos AWS KMS con la clave pública de un KMS key pair, utilice la operación Cifrar. También puede descargar la clave pública y compartirla con las partes que necesiten cifrar los datos fuera de ella. AWS KMS

Al descargar la clave pública de una clave asimétricaKMS, puede utilizarla fuera de ella. AWS KMS Pero ya no está sujeta a los controles de seguridad que protegen la KMS clave. AWS KMS Por ejemplo, no puede utilizar políticas o concesiones AWS KMS clave para controlar el uso de la clave pública. Tampoco puede controlar si la clave se utiliza únicamente para el cifrado y el descifrado mediante los algoritmos de cifrado AWS KMS compatibles. Para obtener más información, consulte Consideraciones especiales para la descarga de claves públicas.

Para descifrar los datos que se cifraron con la clave pública externa AWS KMS, ejecute la operación de descifrado. La Decrypt operación falla si los datos se cifraron con una clave pública a partir de una clave con un KMS uso de clave igual a. SIGN_VERIFY También se producirá un error si se cifró mediante un algoritmo que AWS KMS no sea compatible con la especificación de clave que ha seleccionado. Para obtener más información sobre las especificaciones de claves y los algoritmos compatibles, consulte Referencia de especificaciones de clave.

Para evitar estos errores, cualquier persona que utilice una clave pública fuera de ella AWS KMS debe almacenar la configuración de la clave. La AWS KMS consola y la GetPublicKeyrespuesta proporcionan la información que debe incluir al compartir la clave pública.

Para obtener los secretos compartidos, utilice una KMS clave con una curva elíptica NIST recomendada o material clave (solo para las regiones de SM2China). AWS KMS utiliza el cofactor criptográfico de curva elíptica Diffie-Hellman Primitive (ECDH) para establecer un acuerdo clave entre dos pares al derivar un secreto compartido a partir de sus pares de claves público-privadas de curva elíptica. Puede utilizar el secreto compartido sin procesar que devuelve la DeriveSharedSecretoperación para obtener una clave simétrica que pueda cifrar y descifrar los datos que se envían entre dos partes, o generarlos y verificarlos. HMACs AWS KMS recomienda que siga NISTlas recomendaciones de derivación de claves cuando utilice el secreto compartido sin procesar para obtener una clave simétrica.

Para generar y verificar los códigos de autenticación de mensajes basados en hash, utilice una HMAC KMS clave. Al crear una HMAC clave AWS KMS, AWS KMS crea y protege el material clave y se asegura de utilizar los MAC algoritmos correctos para la clave. HMAClos códigos también se pueden usar como números pseudoaleatorios y, en ciertos escenarios, para la firma simétrica y la tokenización.

HMACKMSlas claves son claves simétricas. Al crear una HMAC KMS clave en la AWS KMS consola, elija el tipo de Symmetric clave.

Para crear una KMS clave para usarla con un AWS servicio integrado AWS KMS, consulte la documentación del servicio. AWS los servicios que cifran los datos requieren una clave de cifrado KMS simétrica.