Création d'une KMS clé

Le type de clé est une propriété qui détermine le type de clé cryptographique créé. AWS KMS propose trois types de clés pour protéger les données :

L'utilisation de la clé est une propriété qui détermine les opérations cryptographiques prises en charge par la clé. KMSles clés peuvent être utilisées comme clé ENCRYPT_DECRYPTSIGN_VERIFY,GENERATE_VERIFY_MAC, ouKEY_AGREEMENT. Chaque KMS clé ne peut être utilisée qu'une seule fois. L'utilisation d'une KMS clé pour plusieurs types d'opérations rend le produit des deux opérations plus vulnérable aux attaques.

La spécification de la clé est une propriété qui représente la configuration de chiffrement d'une clé. La signification de la spécification de la clé diffère selon le type de clé.

Pour KMS les clés, la spécification de la clé détermine si la KMS clé est symétrique ou asymétrique. Elles déterminent également le type d'éléments de clé et les algorithmes pris en charge.

La spécification de clé par défaut, SYMMETRIC_ DEFAULT, représente une clé de chiffrement symétrique de 256 bits. Pour une description détaillée de toutes les spécifications clés prises en charge, voirRéférence de spécification clé.

L'origine du matériau KMS clé est une propriété clé qui identifie la source du matériau clé contenu dans la KMS clé. Vous choisissez l'origine du matériau clé lorsque vous créez la KMS clé, et vous ne pouvez pas la modifier. La source du matériel clé influe sur les caractéristiques de sécurité, de durabilité, de disponibilité, de latence et de débit de la KMS clé.

Chaque KMS clé inclut une référence à son contenu clé dans ses métadonnées. L'origine matérielle des clés de chiffrement KMS symétriques peut varier. Vous pouvez utiliser le matériel clé qui AWS KMS génère, le matériel clé généré dans un magasin de clés personnalisé, ou importer votre propre matériel clé.

Par défaut, chaque KMS clé possède un matériau de clé unique. Toutefois, vous pouvez créer un ensemble de clés multi-région avec les mêmes éléments de clé.

KMSles clés peuvent avoir l'une des valeurs d'origine du matériau clé suivantes :AWS_KMS, EXTERNAL (matériau clé importé), AWS_CLOUDHSM (KMSclé dans un magasin de AWS CloudHSM clés) ou EXTERNAL_KEY_STORE (KMSclé dans un magasin de clés externe).

Utilisez une KMSclé symétrique dans la plupart des cas d'utilisation qui nécessitent le chiffrement et le déchiffrement des données. L'algorithme de chiffrement symétrique qu'utilise AWS KMS est rapide, efficace et assure la confidentialité et l'authenticité des données. Il prend en charge le chiffrement authentifié avec des données authentifiées supplémentaires (AAD), définies comme un contexte de chiffrement. Ce type de KMS clé nécessite que l'expéditeur et le destinataire des données chiffrées disposent d' AWS informations d'identification valides pour appeler AWS KMS.

Si votre cas d'utilisation nécessite un chiffrement externe AWS par des utilisateurs qui ne peuvent pas appeler AWS KMS, KMSles clés asymétriques sont un bon choix. Vous pouvez distribuer la clé publique de la KMS clé asymétrique pour permettre à ces utilisateurs de chiffrer les données. Et vos applications qui ont besoin de déchiffrer ces données peuvent utiliser la clé privée de la clé asymétrique KMS qu'elles contiennent. AWS KMS

Pour signer les messages et vérifier les signatures, vous devez utiliser une KMSclé asymétrique. Vous pouvez utiliser une KMS clé dont la spécification représente une paire de RSA clés, une paire de clés à courbe elliptique (ECC) ou une paire de SM2 clés (régions chinoises uniquement). La spécification de clé que vous choisissez est déterminée par l'algorithme de signature que vous souhaitez utiliser. Les algorithmes de ECDSA signature pris en charge par les paires de ECC clés sont recommandés par rapport aux algorithmes de RSA signature. Cependant, vous devrez peut-être utiliser une spécification de clé et un algorithme de signature particuliers pour aider les utilisateurs qui vérifient les signatures en dehors de AWS.

Pour chiffrer des données avec une paire de clés asymétriques, vous devez utiliser une KMSclé asymétrique avec une spécification de RSAclé ou une spécification de SM2clé (régions chinoises uniquement). Pour chiffrer des données AWS KMS avec la clé publique d'une paire de KMS clés, utilisez l'opération Encrypt. Vous pouvez également télécharger la clé publique et la partager avec les parties qui ont besoin de chiffrer des données en dehors de AWS KMS.

Lorsque vous téléchargez la clé publique d'une KMS clé asymétrique, vous pouvez l'utiliser en dehors de AWS KMS. Mais il n'est plus soumis aux contrôles de sécurité qui protègent la KMS clé AWS KMS. Par exemple, vous ne pouvez pas utiliser de politiques ou de subventions AWS KMS clés pour contrôler l'utilisation de la clé publique. Vous ne pouvez pas non plus contrôler si la clé est utilisée uniquement pour le chiffrement et le déchiffrement à l'aide des algorithmes de chiffrement pris AWS KMS en charge. Pour plus d'informations, veuillez consulter Considérations spéciales pour le téléchargement de clés publiques.

Pour déchiffrer des données chiffrées avec la clé publique extérieure à AWS KMS, appelez l'opération Decrypt. L'Decryptopération échoue si les données ont été chiffrées sous une clé publique à partir d'une KMS clé dont la clé d'utilisation est deSIGN_VERIFY. Il échouera également s'il a été chiffré à l'aide d'un algorithme qui AWS KMS ne prend pas en charge la spécification de clé que vous avez sélectionnée. Pour plus d'informations sur les spécifications clés et les algorithmes pris en charge, consultezRéférence de spécification clé.

Pour éviter ces erreurs, toute personne utilisant une clé publique en dehors de AWS KMS doit enregistrer la configuration de la clé. La AWS KMS console et la GetPublicKeyréponse fournissent les informations que vous devez inclure lorsque vous partagez la clé publique.

Pour obtenir des secrets partagés, utilisez une KMS clé avec une courbe elliptique NIST recommandée ou un matériau clé SM2(régions chinoises uniquement). AWS KMS utilise le cofacteur de cryptographie à courbe elliptique Diffie-Hellman Primitive (ECDH) pour établir un accord clé entre deux pairs en dérivant un secret partagé à partir de leurs paires de clés publique-privée sur courbe elliptique. Vous pouvez utiliser le secret partagé brut renvoyé par l' DeriveSharedSecretopération pour obtenir une clé symétrique capable de chiffrer et de déchiffrer les données envoyées entre deux parties, ou de les générer et de les vérifier. HMACs AWS KMS vous recommande de suivre les NISTrecommandations relatives à la dérivation des clés lorsque vous utilisez le secret partagé brut pour dériver une clé symétrique.

Pour générer et vérifier les codes d'authentification des messages basés sur le hachage, utilisez une HMAC KMS clé. Lorsque vous créez une HMAC clé AWS KMS, elle AWS KMS crée et protège le contenu de votre clé et veille à ce que vous utilisiez les MAC algorithmes appropriés pour votre clé. HMACles codes peuvent également être utilisés sous forme de nombres pseudo-aléatoires et, dans certains scénarios, pour la signature et la tokenisation symétriques.

HMACKMSles clés sont des clés symétriques. Lorsque vous créez une HMAC KMS clé dans la AWS KMS console, choisissez le type de Symmetric clé.

Pour créer une KMS clé à utiliser avec un AWS service intégré AWS KMS, consultez la documentation du service. AWS les services qui chiffrent vos données nécessitent une clé de chiffrement KMS symétrique.