Versions du AWS Encryption SDK

La version 1.7. x introduit de nouveaux constructeurs dans le Kit SDK de chiffrement AWS pour Java et Kit SDK de chiffrement AWS pour Python qui créent explicitement des fournisseurs de clés AWS KMS principales en mode strict ou en mode découverte. Cette version apporte des modifications similaires à l'interface de AWS Encryption SDK ligne de commande (CLI). Pour en savoir plus, consultez Mise à jour des fournisseurs de clés AWS KMS principales.

Les constructeurs qui créent des versions antérieures des fournisseurs de clés AWS KMS principales sont obsolètes dans la version 1.7. x et supprimé dans la version 2.0. x. Ces constructeurs instancient les fournisseurs de clés principales qui chiffrent à l'aide des clés d'encapsulation que vous spécifiez. Cependant, ils déchiffrent les clés de données chiffrées à l'aide de la clé d'encapsulation qui les a chiffrées, sans tenir compte des clés d'encapsulation spécifiées. Les utilisateurs peuvent déchiffrer involontairement des messages à l'aide de clés d'encapsulage qu'ils n'ont pas l'intention d'utiliser, y compris AWS KMS keys dans d'autres régions Comptes AWS .

Aucune modification n'a été apportée aux constructeurs des clés AWS KMS principales. Lors du chiffrement et du déchiffrement, les clés AWS KMS principales utilisent uniquement celles que vous avez spécifiées. AWS KMS key

La version 1.7. x ajoute un nouveau filtre aux Kit SDK de chiffrement AWS pour JavaScript implémentations Kit SDK de chiffrement AWS pour C et qui limite les porte-clés de AWS KMS découverte à certains. Comptes AWS Ce nouveau filtre de compte est facultatif, mais il s'agit d'une bonne pratique que nous recommandons. Pour en savoir plus, consultez Mise à jour des AWS KMS porte-clés.

Aucune modification n'a été apportée aux constructeurs des AWS KMS porte-clés. AWS KMS Les porte-clés standard se comportent comme des fournisseurs de clés principales en mode strict. AWS KMS les porte-clés de découverte sont créés explicitement en mode découverte.

À partir de la version 1.7. x, lors du déchiffrement de clés de données chiffrées, le spécifie AWS Encryption SDK toujours un AWS KMS key dans ses appels à l' AWS KMS opération de déchiffrement. AWS Encryption SDK Obtient la valeur de l'ID de clé AWS KMS key à partir des métadonnées de chaque clé de données cryptée. Cette fonctionnalité ne nécessite aucune modification de code.

AWS KMS key Il n'est pas nécessaire de spécifier l'ID de clé de pour déchiffrer le texte chiffré à l'aide d'une clé KMS de chiffrement symétrique, mais c'est une bonne pratique. AWS KMS Tout comme la spécification de clés d'encapsulation dans votre fournisseur de clés, cette pratique garantit que le déchiffre AWS KMS uniquement à l'aide de la clé d'encapsulation que vous souhaitez utiliser.

La version 1.7. x peut déchiffrer le texte chiffré avec ou sans engagement de clé. Cependant, il ne peut pas chiffrer le texte chiffré avec un engagement de clé. Cette propriété vous permet de déployer entièrement des applications capables de déchiffrer le texte chiffré avec un engagement de clé avant même qu'il ne rencontre un tel texte chiffré. Comme cette version déchiffre les messages chiffrés sans engagement de clé, il n'est pas nécessaire de rechiffrer le texte chiffré.

Pour implémenter ce comportement, version 1.7. x inclut un nouveau paramètre de configuration de politique d'engagement qui détermine s'il est AWS Encryption SDK possible de chiffrer ou de déchiffrer avec un engagement par clé. Dans la version 1.7. x, la seule valeur valide pour la politique d'engagementForbidEncryptAllowDecrypt, est utilisée dans toutes les opérations de chiffrement et de déchiffrement. Cette valeur AWS Encryption SDK empêche le chiffrement avec l'une des nouvelles suites d'algorithmes qui incluent l'engagement des clés. Il permet de AWS Encryption SDK déchiffrer le texte chiffré avec et sans engagement de clé.

Bien qu'il n'y ait qu'une seule valeur de politique d'engagement valide dans la version 1.7. x, nous exigeons que vous puissiez définir cette valeur de manière explicite lorsque vous utilisez les nouvelles API introduites dans cette version. La définition explicite de cette valeur empêche la modification automatique de votre politique d'engagement require-encrypt-require-decrypt lors de la mise à niveau vers la version 2.1. x. Au lieu de cela, vous pouvez migrer votre politique d'engagement par étapes.

La version 1.7. x inclut deux nouvelles suites d'algorithmes qui prennent en charge l'engagement clé. L'un inclut la signature, l'autre non. Comme les suites d'algorithmes précédemment prises en charge, ces deux nouvelles suites d'algorithmes incluent le chiffrement avec AES-GCM une clé de cryptage 256 bits et une fonction de dérivation de clé d' HMAC-based extraction et d'expansion (HKDF).

Cependant, la suite d'algorithmes par défaut utilisée pour le chiffrement ne change pas. Ces suites d'algorithmes ont été ajoutées à la version 1.7. x pour préparer votre application à les utiliser dans les versions 2.0. x et versions ultérieures.

La version 1.7. x apporte des modifications à l'interface du gestionnaire de matériel cryptographique (CMM) par défaut pour prendre en charge l'engagement des clés. Cette modification ne vous concerne que si vous avez écrit une CMM personnalisée. Pour plus de détails, consultez la documentation de l'API ou GitHub le référentiel de votre langage de programmation.

Les constructeurs originaux du fournisseur de clés AWS KMS principales devenus obsolètes dans la version 1.7. x sont supprimés dans la version 2.0. x. Vous devez créer explicitement des fournisseurs de clés AWS KMS principales en mode strict ou en mode découverte.

La version 2.0. x peut chiffrer et déchiffrer le texte chiffré avec ou sans engagement de clé. Engagement clé Son comportement est déterminé par la définition de la politique d'engagement. Par défaut, il chiffre toujours avec un engagement de clé et ne déchiffre que le texte chiffré chiffré avec un engagement de clé. À moins que vous ne changiez la politique d'engagement, les textes chiffrés chiffrés ne AWS Encryption SDK seront pas déchiffrés par une version antérieure de AWS Encryption SDK, y compris la version 1.7. x.

Dans la version 2.0. x, le paramètre de politique d'engagement comporte trois valeurs valides :

Si vous effectuez une migration d'une version antérieure de AWS Encryption SDK vers la version 2.0. x, définissez la politique d'engagement sur une valeur qui garantit que vous pouvez déchiffrer tous les textes chiffrés existants que votre application pourrait rencontrer. Il est probable que vous modifiiez ce paramètre au fil du temps.

Pour améliorer la gestion des signatures numériques lors du déchiffrement, il AWS Encryption SDK inclut les fonctionnalités suivantes :

Vous pouvez limiter le nombre de clés de données chiffrées dans un message chiffré. Cette fonctionnalité peut vous aider à détecter un fournisseur de clé principale ou un jeu de clés mal configuré lors du chiffrement, ou à identifier un texte chiffré malveillant lors du déchiffrement.

Vous devez limiter les clés de données chiffrées lorsque vous déchiffrez des messages provenant d'une source non fiable. Il permet d'éviter les appels inutiles, coûteux et potentiellement exhaustifs vers votre infrastructure clé.