Eliminación de claves de

La eliminación de una clave de criptografía de AWS pagos elimina el material clave y todos los metadatos asociados a la clave y es irreversible a menos que haya una copia de la clave disponible fuera de la criptografía de AWS pagos. Una vez que se elimina una clave, ya no pueden descifrar los datos que se habían cifrado con ella, lo que significa que los datos pueden volverse irrecuperables. Sólo debe eliminar una clave cuando esté seguro de que ya no necesita utilizarla y de que no hay terceros que la estén utilizando. Si no estás seguro, considera la posibilidad de detener el uso de la clave en lugar de eliminarla. Puedes volver a habilitar una clave desactivada si necesitas volver a utilizarla más adelante, pero no puedes recuperar una clave de criptografía de AWS pagos eliminada a menos que puedas volver a importarla desde otra fuente.

Antes de eliminar una clave, asegúrate de que ya no la necesitas. AWS La criptografía de pagos no almacena los resultados de operaciones criptográficas como la CVV2 y no puede determinar si se necesita una clave para cualquier material criptográfico persistente.

AWS La criptografía de pagos nunca elimina las claves que pertenecen a las AWS cuentas activas, a menos que programes explícitamente su eliminación y venza el período de espera obligatorio.

Sin embargo, puedes optar por eliminar una clave de criptografía de AWS pagos por uno o varios de los siguientes motivos:

AWS La criptografía de pagos registra una entrada en su AWS CloudTrail registro cuando programa la eliminación de la clave de criptografía de AWS pagos y cuando la clave de criptografía de AWS pagos se elimina realmente.

Al utilizar la replicación de claves y eliminar una Multi-Region clave de criptografía de pago que sea una clave de región principal (PRK), las claves de región de réplica (RRK) también se eliminarán automáticamente. Un RRK no se puede eliminar como un PRK. Si desea eliminar un RRK, tendrá que modificar las regiones de replicación de su PRK.

Acerca del período de espera

Como la eliminación de una clave es irreversible, la criptografía de AWS pagos requiere que establezcas un período de espera de entre 3 y 180 días. El periodo de espera predeterminado es de siete días.

Sin embargo, el período de espera real puede ser hasta 24 horas más largo que el programado. Para obtener la fecha y la hora reales en las que se eliminará la clave de criptografía de AWS pagos, utilice las operaciones. GetKey Asegúrese de anotar la zona horaria.

Durante el período de espera, el estado y el estado de la clave de criptografía de AWS pagos son Pendiente de eliminación.

Una vez finalizado el período de espera, la criptografía de AWS pagos elimina la clave de criptografía de AWS pagos, sus alias y todos los metadatos relacionados con la criptografía de pagos. AWS

Usa el período de espera para asegurarte de que no necesitas la clave de criptografía de AWS pagos ahora o en el futuro. Si se da cuenta de que necesita la clave durante el periodo de espera, puede cancelar la eliminación de la clave antes de que finalice el periodo de espera. Una vez que finaliza el periodo de espera, no puede cancelar la eliminación de claves y el servicio elimina la clave.

$ aws payment-cryptography delete-key \
                    --key-identifier arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h
                  

  {
    "Key": {
        "KeyArn": "arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h",
        "KeyAttributes": {
            "KeyUsage": "TR31_V2_VISA_PIN_VERIFICATION_KEY",
            "KeyClass": "SYMMETRIC_KEY",
            "KeyAlgorithm": "TDES_3KEY",
            "KeyModesOfUse": {
                "Encrypt": false,
                "Decrypt": false,
                "Wrap": false,
                "Unwrap": false,
                "Generate": true,
                "Sign": false,
                "Verify": true,
                "DeriveKey": false,
                "NoRestrictions": false
            }
        },
        "KeyCheckValue": "0A3674",
        "KeyCheckValueAlgorithm": "ANSI_X9_24",
        "Enabled": false,
        "Exportable": true,
        "KeyState": "DELETE_PENDING",
        "KeyOrigin": "AWS_PAYMENT_CRYPTOGRAPHY",
        "CreateTimestamp": "2023-06-05T12:01:29.969000-07:00",
        "UsageStopTimestamp": "2023-06-05T14:31:13.399000-07:00",
        "DeletePendingTimestamp": "2023-06-12T14:58:32.865000-07:00"
    }
}

$ aws payment-cryptography restore-key --key-identifier arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h
                    

{
    "Key": {
        "KeyArn": "arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h",
        "KeyAttributes": {
            "KeyUsage": "TR31_V2_VISA_PIN_VERIFICATION_KEY",
            "KeyClass": "SYMMETRIC_KEY",
            "KeyAlgorithm": "TDES_3KEY",
            "KeyModesOfUse": {
                "Encrypt": false,
                "Decrypt": false,
                "Wrap": false,
                "Unwrap": false,
                "Generate": true,
                "Sign": false,
                "Verify": true,
                "DeriveKey": false,
                "NoRestrictions": false
            }
        },
        "KeyCheckValue": "0A3674",
        "KeyCheckValueAlgorithm": "ANSI_X9_24",
        "Enabled": false,
        "Exportable": true,
        "KeyState": "CREATE_COMPLETE",
        "KeyOrigin": "AWS_PAYMENT_CRYPTOGRAPHY",
        "CreateTimestamp": "2023-06-08T12:01:29.969000-07:00",
        "UsageStopTimestamp": "2023-06-08T14:31:13.399000-07:00"
    }
}