Problèmes connus liés au moteur dynamique OpenSSL pour AWS CloudHSM

Impact : OpenSSL Dynamic Engine prend uniquement en charge OpenSSL 1.0.2 [f+]. Par défaut, RHEL 6 et CentOS 6 sont livrés avec OpenSSL 1.0.1.

Solution : mettez à niveau la bibliothèque OpenSSL sur RHEL 6 et CentOS 6 vers la version 1.0.2 [f+].

Impact : Pour optimiser les performances, le kit SDK n'est pas configuré pour décharger des fonctions supplémentaires, telles que la génération de nombres aléatoires ou les opérations EC-DH.

Solution : Veuillez nous contacter au moyen d'une demande de support si vous avez besoin de décharger des opérations supplémentaires.

Statut de résolution : Nous ajoutons actuellement la prise en charge de la configuration des options de déchargement pour le kit SDK au moyen d'un fichier de configuration. Une fois disponible, la mise à jour sera annoncée sur la page de l'historique des versions.

Conséquence : tout appel au chiffrement et au déchiffrement RSA avec rembourrage OAEP échoue avec une erreur. divide-by-zero Cela se produit car le moteur dynamique OpenSSL appelle l'opération localement à l'aide du fichier PEM factice au lieu de décharger l'opération vers le HSM.

Solution : Vous pouvez effectuer cette procédure à l'aide de bibliothèque PKCS #11 pour le SDK AWS CloudHSM client 5 ou de fournisseur JCE pour le SDK AWS CloudHSM client 5.

Résolution d'état : Nous sommes en train d'ajouter la prise en charge pour le kit SDK pour décharger correctement cette opération. Une fois disponible, la mise à jour sera annoncée sur la page de l'historique des versions.

Impact : comme le basculement est silencieux, rien n'indique que vous n'avez pas reçu une clé qui a été générée de façon sécurisée sur le HSM. Vous verrez une sortie de trace contenant la chaîne "...........++++++" si la clé est générée localement par OpenSSL dans le logiciel. Cette trace est absente lorsque l'opération est déchargée sur le HSM. Comme la clé n'est pas générée ou stockée sur le HSM, elle sera indisponible pour une utilisation future.

Solution de contournement : utilisez uniquement le moteur OpenSSL pour les Types de clé qu'il prend en charge. Pour tous les autres types de clés, utilisez PKCS #11 ou JCE dans les applications, ou utilisez-le key_mgmt_util dans la CLI.

Conséquence : par défaut, RHEL 8, CentOS 8 et Ubuntu 18.04 LTS fournissent une version d'OpenSSL qui n'est pas compatible avec OpenSSL Dynamic Engine for Client SDK 3.

Solution : utilisez une plateforme Linux qui prend en charge le moteur dynamique OpenSSL. Pour plus d'informations sur les plateformes prises en charge, consultez Plateformes prises en charge.

État de résolution : AWS CloudHSM prend en charge ces plateformes avec OpenSSL Dynamic Engine for Client SDK 5. Pour plus d'informations, consultez Plateformes prises en charge et OpenSSL Dynamic Engine.

Conséquence : l'utilisation du condensé de message SHA-1 à des fins cryptographiques est devenue obsolète dans RHEL 9 (version 9.2+). Par conséquent, les opérations de signature et de vérification avec SHA-1 à l'aide du moteur dynamique OpenSSL échoueront.

Solution : si votre scénario nécessite l'utilisation de SHA-1 pour signer/vérifier des signatures cryptographiques existantes ou tierces, consultez les notes de version relatives à l'amélioration de la sécurité RHEL : comprendre la dépréciation de SHA-1 sur RHEL 9 (9.2+) et RHEL 9 (9.2+) pour plus de détails.

Conséquence : vous recevrez un message d'erreur si vous tentez d'utiliser le moteur dynamique AWS CloudHSM OpenSSL alors que le fournisseur FIPS est activé pour les versions 3.x d'OpenSSL.

Solution : pour utiliser le moteur dynamique AWS CloudHSM OpenSSL avec les versions 3.x d'OpenSSL, assurez-vous que le fournisseur « par défaut » est configuré. Pour en savoir plus sur le fournisseur par défaut, consultez le site Web d'OpenSSL.