Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Cette rubrique de résolution des problèmes vous aide à déterminer si votre application génère des clés encapsulées irrécupérables. Si ce problème vous concerne, consultez cette rubrique pour le résoudre.
Rubriques
Déterminez si votre code génère des clés encapsulées irrécupérables
Vous êtes concerné uniquement si vous remplissez toutes les conditions ci-dessous :
| Condition | Comment le savoir ? |
|---|---|
|
Votre application utilise la bibliothèque PKCS #11 |
La bibliothèque PKCS #11 est installée sous forme de fichier |
|
Votre application utilise spécifiquement la version 3.0.0 de la bibliothèque PKCS #11 |
Si vous avez reçu un e-mail de l' AWS CloudHSM équipe, vous utilisez probablement la version 3.0.0 de la bibliothèque PKCS #11. Pour vérifier la version du logiciel sur vos instances d'application, utilisez cette commande :
|
|
Vous encapsulez les clés à l'aide de l'encapsulage de clés AES |
L'encapsulage des touches AES signifie que vous utilisez une clé AES pour encapsuler une autre clé. Le nom du mécanisme correspondant est |
|
Vous spécifiez un IV personnalisé lorsque vous appelez l’encapsulage de clés AES, et la longueur de cet IV est inférieure à 8 |
L'encapsulage des clés AES est généralement initialisée à l'aide d'une structure
Ce problème s'applique à vous uniquement si :
|
Si vous ne remplissez pas toutes les conditions ci-dessus, vous pouvez arrêter de lire maintenant. Vos clés encapsulées peuvent être désencapsulées correctement, et ce problème ne vous concerne pas. Sinon, consultez Mesures à prendre si votre code génère des clés encapsulées irrécupérables.
Mesures à prendre si votre code génère des clés encapsulées irrécupérables
Vous devez suivre les trois étapes suivantes :
-
Mettez immédiatement à niveau votre bibliothèque PKCS #11 vers une version plus récente
-
Mettez à jour votre logiciel pour utiliser un IV conforme aux normes
Nous vous recommandons vivement de suivre notre exemple de code et de simplement spécifier un IV NULL, ce qui oblige le HSM à utiliser le IV par défaut conforme aux normes. Vous pouvez également spécifier explicitement l'IV comme
0xA6A6A6A6A6A6A6A6avec une longueur d'IV correspondante de8. Nous ne recommandons pas d'utiliser un autre IV pour l'encapsulage des clés AES, et nous désactiverons explicitement la IVs personnalisation de l'encapsulage des clés AES dans une future version de la bibliothèque PKCS #11.Un exemple de code permettant de spécifier correctement l'IV apparaît dans aes_wrapping.c
on. GitHub -
Identifiez et récupérez les clés encapsulées existantes
Vous devez identifier toutes les clés que vous avez encapsulées à l'aide de la version 3.0.0 de la bibliothèque PKCS #11, puis contacter le support pour obtenir de l'aide (https://aws.amazon.com/support
) pour récupérer ces clés.
Important
Ce problème concerne uniquement les clés encapsulées avec la version 3.0.0 de la bibliothèque PKCS #11. Vous pouvez encapsuler les clés à l'aide de versions antérieures (packages 2.0.4 et numéros inférieurs) ou de versions ultérieures (packages 3.0.1 et numéros supérieurs) de la bibliothèque PKCS #11.
