Clés d'exportation

Initialiser le processus d'exportation

Exécutez get-parameters-for-export pour générer une paire de clés pour les exportations de clés. Nous utilisons cette paire de clés pour signer la TR-34 charge utile. En TR-34 termes de terminologie, il s'agit du certificat de signature du KDH. Les certificats sont de courte durée et valables uniquement pour la durée spécifiée dansParametersValidUntilTimestamp.

$ aws payment-cryptography get-parameters-for-export \
    --signing-key-algorithm RSA_2048 \
    --key-material-type TR34_KEY_BLOCK

{
  "SigningKeyCertificate": "LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSUV2RENDQXFTZ0F3SUJ...",
  "SigningKeyCertificateChain": "LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS....",
  "SigningKeyAlgorithm": "RSA_2048",
  "ExportToken": "export-token-au7pvkbsq4mbup6i",
  "ParametersValidUntilTimestamp": "2023-06-13T15:40:24.036000-07:00"
}

Importez le AWS Certificat de cryptographie de paiement envoyé à votre système de réception

Importez la chaîne de certificats de l'étape 1 vers votre système de réception.

Configurez les certificats de votre système de réception

Pour protéger la charge utile transmise, l'expéditeur (KDH) la chiffre. Votre système de réception (généralement votre HSM ou celui de votre partenaire) doit générer une clé publique et créer un certificat de clé X.509 publique. Vous pouvez l'utiliser CA privée AWS pour générer des certificats, mais vous pouvez utiliser n'importe quelle autorité de certification.

Une fois que vous avez obtenu le certificat, importez le certificat racine dans AWS Payment Cryptography à l'aide de la ImportKey commande. Définissez KeyMaterialType sur RootCertificatePublicKey et KeyUsageType sur TR31_S0_ASYMMETRIC_KEY_FOR_DIGITAL_SIGNATURE.

Nous l'utilisons TR31_S0_ASYMMETRIC_KEY_FOR_DIGITAL_SIGNATURE comme clé KeyUsageType car il s'agit de la clé racine qui signe le certificat Leaf. Vous n'avez pas besoin d'importer des certificats Leaf dans AWS Payment Cryptography : vous pouvez les transmettre en ligne.

Exportez votre clé

Appelez l'ExportKeyAPI avec KeyMaterialType set toTR34_KEY_BLOCK. Vous devez fournir :

$ aws payment-cryptography export-key \
    --export-key-identifier "example-export-key" \
    --key-material '{"Tr34KeyBlock": { \
    "CertificateAuthorityPublicKeyIdentifier": "arn:aws:payment-cryptography:us-east-2:111122223333:key/4kd6xud22e64wcbk", \
    "ExportToken": "export-token-au7pvkbsq4mbup6i", \
    "KeyBlockFormat": "X9_TR34_2012", \
    "WrappingKeyCertificate": "LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSUV2RENDQXFXZ0F3SUJBZ0lSQ..."} \
    }'

{
  "WrappedKey": {
    "KeyMaterial": "308205A106092A864886F70D010702A08205923082058...",
    "WrappedKeyMaterialFormat": "TR34_KEY_BLOCK"
  }
}

Générer une paire de clés ECC

Appelez create-key pour créer une paire de clés ECC pour ce processus. Cette API génère une paire de clés pour les importations ou les exportations de clés. Lors de la création, spécifiez quel type de clé peut être dérivé à l'aide de cette clé ECC. Lorsque vous utilisez ECDH pour échanger (encapsuler) d'autres clés, utilisez une valeur deTR31_K1_KEY_BLOCK_PROTECTION_KEY.

$ aws payment-cryptography create-key --exportable --key-attributes KeyAlgorithm=ECC_NIST_P256,KeyUsage=TR31_K3_ASYMMETRIC_KEY_FOR_KEY_AGREEMENT,KeyClass=ASYMMETRIC_KEY_PAIR,KeyModesOfUse='{DeriveKey=true}' --derive-key-usage "TR31_K1_KEY_BLOCK_PROTECTION_KEY"

{
        "Key": {
            "KeyArn": "arn:aws:payment-cryptography:us-east-2:111122223333:key/wc3rjsssguhxtilv",
            "KeyAttributes": {
                "KeyUsage": "TR31_K3_ASYMMETRIC_KEY_FOR_KEY_AGREEMENT",
                "KeyClass": "ASYMMETRIC_KEY_PAIR",
                "KeyAlgorithm": "ECC_NIST_P256",
                "KeyModesOfUse": {
                    "Encrypt": false,
                    "Decrypt": false,
                    "Wrap": false,
                    "Unwrap": false,
                    "Generate": false,
                    "Sign": false,
                    "Verify": false,
                    "DeriveKey": true,
                    "NoRestrictions": false
                }
            },
            "KeyCheckValue": "2432827F",
            "KeyCheckValueAlgorithm": "CMAC",
            "Enabled": true,
            "Exportable": true,
            "KeyState": "CREATE_COMPLETE",
            "KeyOrigin": "AWS_PAYMENT_CRYPTOGRAPHY",
            "CreateTimestamp": "2025-03-28T22:03:41.087000-07:00",
            "UsageStartTimestamp": "2025-03-28T22:03:41.068000-07:00"
        }
    }

Obtenir un certificat de clé publique

Appelez get-public-key-certificate pour recevoir la clé publique sous forme de X.509 certificat signé par l'autorité de certification de votre compte et spécifique à la cryptographie des AWS paiements dans une région spécifique.

$ aws payment-cryptography get-public-key-certificate \
           --key-identifier arn:aws:payment-cryptography:us-east-2:111122223333:key/wc3rjsssguhxtilv
        

{
      "KeyCertificate": "LS0tLS1CRUdJTi...",
      "KeyCertificateChain": "LS0tLS1CRUdJT..."
    }

Installer un certificat public sur le système de contrepartie (Partie V)

Dans de nombreux HSM, vous devez installer, charger ou approuver le certificat public généré à l'étape 1 pour établir les clés. Cela peut inclure l'ensemble de la chaîne de certificats ou uniquement le certificat racine, selon le HSM. Consultez la documentation de votre HSM pour obtenir des instructions spécifiques.

Générez une paire de clés ECC sur le système source et fournissez une chaîne de certificats à AWS Cryptographie des paiements

Dans ECDH, chaque partie génère une paire de clés et convient d'une clé commune. Pour que AWS Payment Cryptography puisse dériver la clé, elle a besoin de la clé publique de la contrepartie au format clé X.509 publique.

Lorsque vous transférez des clés depuis un HSM, créez une paire de clés sur ce HSM. Pour les HSM qui prennent en charge les blocs de touches, l'en-tête de clé sera similaire àD0144K3EX00E0000. Lors de la création du certificat, vous générez généralement un CSR sur le HSM, puis le HSM, un tiers ou un service tel que CA privée AWS peut générer le certificat.

Chargez le certificat racine dans AWS Payment Cryptography à l'aide de la importKey commande avec KeyMaterialType of RootCertificatePublicKey et KeyUsageType ofTR31_S0_ASYMMETRIC_KEY_FOR_DIGITAL_SIGNATURE.

Pour les certificats intermédiaires, utilisez la importKey commande avec KeyMaterialType of TrustedCertificatePublicKey et KeyUsageType ofTR31_S0_ASYMMETRIC_KEY_FOR_DIGITAL_SIGNATURE. Répétez cette procédure pour plusieurs certificats intermédiaires. Utilisez le dernier certificat importé KeyArn de la chaîne comme entrée pour les commandes d'exportation suivantes.

Dériver la clé et exporter la clé depuis AWS Cryptographie des paiements

Lors de l'exportation, le service dérive une clé à l'aide de l'ECDH, puis l'utilise immédiatement comme KBPK pour encapsuler la clé à exporter. TR-31 La clé à exporter peut être n'importe quelle clé TDES ou AES soumise à des combinaisons TR-31 valides, à condition que la clé d'encapsulation soit au moins aussi forte que la clé à exporter.

$ aws payment-cryptography export-key \
            --export-key-identifier arn:aws:payment-cryptography:us-west-2:529027455495:key/e3a65davqhbpjm4h \
            --key-material='{
              "DiffieHellmanTr31KeyBlock": {
                "CertificateAuthorityPublicKeyIdentifier": "arn:aws:payment-cryptography:us-east-2:111122223333:key/swseahwtq2oj6zi5",
                "DerivationData": {
                  "SharedInformation": "ADEF567890"
                },
                "DeriveKeyAlgorithm": "AES_256",
                "KeyDerivationFunction": "NIST_SP800",
                "KeyDerivationHashAlgorithm": "SHA_256",
                "PrivateKeyIdentifier": "arn:aws:payment-cryptography:us-east-2:111122223333:key/wc3rjsssguhxtilv",
                "PublicKeyCertificate": "LS0tLS1CRUdJTiBDRVJUSUZJQ0FUR..."
              }
            }'

{
            "WrappedKey": {
                "WrappedKeyMaterialFormat": "TR31_KEY_BLOCK",
                "KeyMaterial": "D0112K1TB00E00007012724C0FAAF64DA50E2FF4F9A94DF50441143294E0E995DB2171554223EAA56D078C4CFCB1C112B33BBF05597EE700",
                "KeyCheckValue": "E421AD",
                "KeyCheckValueAlgorithm": "ANSI_X9_24"
            }
        }

Dérivez une clé à usage unique à l'aide de l'ECDH sur le HSM Party V

De nombreux HSM et systèmes associés prennent en charge l'établissement de clés à l'aide de l'ECDH. Spécifiez la clé publique de l'étape 1 comme clé publique et la clé de l'étape 3 comme clé privée. Pour les options autorisées, telles que les méthodes de dérivation, consultez le guide de l'API.

Importer la clé vers le système cible

Enfin, importez la clé depuis AWS Payment Cryptography à l'aide des TR-31 commandes standard. Spécifiez la clé dérivée ECDH en tant que KBPK et utilisez le bloc de TR-31 clé qui a été précédemment exporté depuis AWS Payment Cryptography.

Créez une clé RSA et un certificat sur votre système de réception

Créez ou identifiez une clé RSA pour recevoir la clé encapsulée. Nous exigeons que les clés soient au format X.509 certificat. Assurez-vous que le certificat est signé par un certificat racine que vous pouvez importer dans AWS Payment Cryptography.

Importez le certificat public racine dans AWS Cryptographie des paiements

À utiliser import-key avec l'--key-materialoption d'importation du certificat

$ aws payment-cryptography import-key \
    --key-material='{"RootCertificatePublicKey": { \
    "KeyAttributes": { \
    "KeyAlgorithm": "RSA_4096", \
    "KeyClass": "PUBLIC_KEY", \
    "KeyModesOfUse": {"Verify": true}, \
    "KeyUsage": "TR31_S0_ASYMMETRIC_KEY_FOR_DIGITAL_SIGNATURE"}, \
    "PublicKeyCertificate": "LS0tLS1CRUdJTiBDRV..."} \
    }'

{
  "Key": {
    "CreateTimestamp": "2023-09-14T10:50:32.365000-07:00",
    "Enabled": true,
    "KeyArn": "arn:aws:payment-cryptography:us-east-2:111122223333:key/nsq2i3mbg6sn775f",
    "KeyAttributes": {
      "KeyAlgorithm": "RSA_4096",
      "KeyClass": "PUBLIC_KEY",
      "KeyModesOfUse": {
        "Decrypt": false,
        "DeriveKey": false,
        "Encrypt": false,
        "Generate": false,
        "NoRestrictions": false,
        "Sign": false,
        "Unwrap": false,
        "Verify": true,
        "Wrap": false
      },
      "KeyUsage": "TR31_S0_ASYMMETRIC_KEY_FOR_DIGITAL_SIGNATURE"
    },
    "KeyOrigin": "EXTERNAL",
    "KeyState": "CREATE_COMPLETE",
    "UsageStartTimestamp": "2023-09-14T10:50:32.365000-07:00"
  }
}

Exportez votre clé

Dites à AWS Payment Cryptography d'exporter votre clé à l'aide de votre certificat Leaf. Vous devez spécifier :

La sortie est une version encapsulée (cryptée) binaire codée en hexadécimal de votre clé symétrique.

$ cat export-key.json

{
  "ExportKeyIdentifier": "arn:aws:payment-cryptography:us-east-2:111122223333:key/tqv5yij6wtxx64pi",
  "KeyMaterial": {
    "KeyCryptogram": {
      "CertificateAuthorityPublicKeyIdentifier": "arn:aws:payment-cryptography:us-east-2:111122223333:key/zabouwe3574jysdl",
      "WrappingKeyCertificate": "LS0tLS1CRUdJTiBDEXAMPLE...",
      "WrappingSpec": "RSA_OAEP_SHA_256"
    }
  }
}

$ aws payment-cryptography export-key \
    --cli-input-json file://export-key.json

{
  "WrappedKey": {
    "KeyMaterial": "18874746731E9E1C4562E4116D1C2477063FCB08454D757D81854AEAEE0A52B1F9D303FA29C02DC82AE7785353816EFAC8B5F4F79CC29A1DDA80C65F34364373D8C74E5EC67E4CB55DEA7F091210DCACD3C46FE4A5DAA0F0D9CAA7C959CA7144A5E7052F34AAED93EF44C004AE7ABEBD616C955BBA10993C06FB905319F87B9B4E1B7A7C7D17AF15B6154E807B9C574387A43197C31C6E565554437A252EFF8AC81613305760D11F9B53B08A1BA79EC7E7C82C48083C4E2D0B6F86C34AB83647BDD7E85240AD1AF3C0F6CA8C5BF323BB2D3896457C554F978F4C9436513F494130A6FADBC038D51898AAD72E02A89FF256C524E7B5D85B813751B718C4933D9DC6031F2C5B2E13351A54B6021B2DB72AA0C7EA54727FBCD557E67E5E7CC2E165576E39DB4DA33510BA9A3C847313103A18EF3B23A3440471864D58C79C569D5CD2A653AC16043CA9A61E6878F74C18EE15F9AB23754C37A945B68C0437C19F0079F74B573D9B59DAC25A20781DBE8075C947C9EDC76177A1B0794288CBF89567A541E8401C74E85B8E1C3E501860AF702F641CAA04327018A84EF3A82932A2BCF37047AB40FE77E0A6F68D0904C7E60983CD6F871D5E0E27EEF425C97D39E9394E8927EEF5D2EA9388DF3C5C241F99378DF5DADE8D0F0CF453C803BA38BA702B9651685FAFA6DCB4B14333F8D3C57F2D93E0852AA94EEC3AF3217CAE5873EFD9",
    "WrappedKeyMaterialFormat": "KEY_CRYPTOGRAM"
  }
}

Importez la clé dans votre système de réception

De nombreux HSM et systèmes associés prennent en charge l'importation de clés à l'aide de RSA Unwrap (y compris la cryptographie des AWS paiements). Lors de l'importation, spécifiez :

Configurez votre clé de chiffrement par clé (KEK)

Assurez-vous d'avoir déjà échangé votre KEK et d'avoir le KeyArn (ou KeyAlias) disponible.

Créez votre clé sur AWS Cryptographie des paiements

Créez votre clé si elle n'existe pas déjà. Vous pouvez également créer la clé sur votre autre système et utiliser la commande d'importation.

Exportez votre clé depuis AWS Cryptographie des paiements

Lors de l'exportation au TR-31 format, spécifiez la clé que vous souhaitez exporter et la clé d'encapsulation à utiliser.

$ aws payment-cryptography export-key \
    --key-material='{"Tr31KeyBlock": \
    { "WrappingKeyIdentifier": "arn:aws:payment-cryptography:us-east-2:111122223333:key/ov6icy4ryas4zcza" }}' \
    --export-key-identifier arn:aws:payment-cryptography:us-east-2:111122223333:key/5rplquuwozodpwsp

{
  "WrappedKey": {
    "KeyCheckValue": "73C263",
    "KeyCheckValueAlgorithm": "ANSI_X9_24",
    "KeyMaterial": "D0144K0AB00E0000A24D3ACF3005F30A6E31D533E07F2E1B17A2A003B338B1E79E5B3AD4FBF7850FACF9A3784489581A543C84816C8D3542AE888CE6D4EDDFD09C39957B131617BC",
    "WrappedKeyMaterialFormat": "TR31_KEY_BLOCK"
  }
}

Importez la clé dans votre système

Utilisez l'implémentation de clé d'importation de votre système pour importer la clé.