AWS Encryption SDK referensi format pesan

Versi format pesan ini. Versinya 1 atau 2 dikodekan sebagai byte 01 atau 02 dalam notasi heksadesimal

Jenis format pesan ini. Jenis menunjukkan jenis struktur. Satu-satunya jenis yang didukung digambarkan sebagai data terenkripsi yang diautentikasi pelanggan. Nilai tipenya adalah 128, dikodekan sebagai byte 80 dalam notasi heksadesimal.

Bidang ini tidak ada dalam format pesan versi 2.

Pengidentifikasi untuk algoritma yang digunakan. Ini adalah nilai 2-byte yang ditafsirkan sebagai bilangan bulat 16-bit tanpa tanda tangan. Untuk informasi lebih lanjut tentang algoritma, lihatAWS Encryption SDK referensi algoritma.

Nilai yang dihasilkan secara acak yang mengidentifikasi pesan. ID Pesan:

Nilai ini adalah 128 bit dalam format pesan versi 1 dan 256 bit dalam versi 2.

Panjang data otentikasi tambahan (AAD). Ini adalah nilai 2-byte yang ditafsirkan sebagai bilangan bulat 16-bit tanpa tanda tangan yang menentukan jumlah byte yang berisi AAD.

Ketika konteks Konteks enkripsi enkripsi kosong, nilai bidang Panjang AAD adalah 0.

Data tambahan yang diautentikasi. AAD adalah pengkodean konteks enkripsi, array pasangan kunci-nilai di mana setiap kunci dan nilai adalah string karakter yang dikodekan. UTF-8 Konteks enkripsi dikonversi ke urutan byte dan digunakan untuk nilai AAD. Ketika konteks enkripsi kosong, tidak ada bidang AAD di header.

Ketika algoritma dengan penandatanganan digunakan, konteks enkripsi harus berisi pasangan kunci-nilai. {'aws-crypto-public-key', Qtxt} Qtxt mewakili titik kurva elips Q yang dikompresi menurut SEC 1 versi 2.0 dan kemudian dikodekan base64. Konteks enkripsi dapat berisi nilai tambahan, tetapi panjang maksimum AAD yang dibangun adalah 2^16 - 1 byte.

Tabel berikut menjelaskan bidang yang membentuk AAD. Key-value pasangan diurutkan, berdasarkan kunci, dalam urutan menaik sesuai dengan kode UTF-8 karakter. Byte ditambahkan dalam urutan yang ditunjukkan.

Jumlah kunci data terenkripsi. Ini adalah nilai 2-byte yang ditafsirkan sebagai bilangan bulat 16-bit tanpa tanda tangan yang menentukan jumlah kunci data terenkripsi. Jumlah maksimum kunci data terenkripsi dalam setiap pesan adalah 65.535 (2^16 - 1).

Urutan kunci data terenkripsi. Panjang urutan ditentukan oleh jumlah kunci data terenkripsi dan panjang masing-masing. Urutan berisi setidaknya satu kunci data terenkripsi.

Tabel berikut menjelaskan bidang yang membentuk setiap kunci data terenkripsi. Byte ditambahkan dalam urutan yang ditunjukkan.

Jenis data terenkripsi, baik tanpa bingkai atau dibingkai.

Data berbingkai dibagi menjadi bagian dengan panjang yang sama; setiap bagian dienkripsi secara terpisah. Konten berbingkai adalah tipe 2, dikodekan sebagai byte 02 dalam notasi heksadesimal.

Data nonframe tidak dibagi; itu adalah gumpalan terenkripsi tunggal. Non-framed konten adalah tipe 1, dikodekan sebagai byte 01 dalam notasi heksadesimal.

Urutan cadangan 4 byte. Nilai ini harus 0. Ini dikodekan sebagai byte 00 00 00 00 dalam notasi heksadesimal (yaitu, urutan 4-byte dari nilai integer 32-bit sama dengan 0).

Bidang ini tidak ada dalam format pesan versi 2.

Panjang vektor inisialisasi (IV). Ini adalah nilai 1-byte yang ditafsirkan sebagai bilangan bulat tanpa tanda 8-bit yang menentukan jumlah byte yang berisi IV. Nilai ini ditentukan oleh nilai byte IV dari algoritma yang menghasilkan pesan.

Bidang ini tidak ada dalam format pesan versi 2, yang hanya mendukung rangkaian algoritma yang menggunakan nilai IV deterministik di header pesan.

Panjang setiap bingkai data berbingkai. Ini adalah nilai 4-byte yang ditafsirkan sebagai bilangan bulat tanpa tanda 32-bit yang menentukan jumlah byte di setiap frame. Ketika data tidak dibingkai, yaitu, ketika nilai Content Type bidang adalah 1, nilai ini harus 0.

Data tambahan yang dibutuhkan oleh algoritma yang menghasilkan pesan. Panjang dan isinya ditentukan oleh algoritma. Panjangnya mungkin 0.

Bidang ini tidak ada dalam format pesan versi 1.

Otentikasi header ditentukan oleh algoritma yang menghasilkan pesan. Otentikasi header dihitung di seluruh header. Ini terdiri dari IV dan tag otentikasi. Byte ditambahkan dalam urutan yang ditunjukkan.

Vektor inisialisasi (IV) untuk digunakan dengan algoritma AWS Encryption SDK referensi algoritma enkripsi.

Panjang konten terenkripsi, atau ciphertext. Ini adalah nilai 8-byte yang ditafsirkan sebagai bilangan bulat tanpa tanda 64-bit yang menentukan jumlah byte yang berisi konten terenkripsi.

Secara teknis, nilai maksimum yang diizinkan adalah 2^63 - 1, atau 8 exbibytes (8 eB). Namun, dalam praktiknya nilai maksimum adalah 2^36 - 32, atau 64 gibibytes (64 GiB), karena pembatasan yang diberlakukan oleh algoritma yang diterapkan. AWS Encryption SDK referensi algoritma

Konten terenkripsi (ciphertext) seperti yang dikembalikan oleh algoritma en kripsi.

Nilai otentikasi untuk tubuh. Ini digunakan untuk mengotentikasi badan pesan.

Nomor urutan bingkai. Ini adalah nomor penghitung inkremental untuk bingkai. Ini adalah nilai 4-byte yang ditafsirkan sebagai bilangan bulat 32-bit tanpa tanda tangan.

Data berbingkai harus dimulai pada urutan nomor 1. Frame berikutnya harus berurutan dan harus berisi kenaikan 1 dari frame sebelumnya. Jika tidak, proses dekripsi berhenti dan melaporkan kesalahan.

Vektor inisialisasi (IV) untuk frame. SDK menggunakan metode deterministik untuk membangun IV yang berbeda untuk setiap frame dalam pesan. Panjangnya ditentukan oleh rangkaian algoritma yang digunakan.

Konten terenkripsi (ciphertext) untuk frame, seperti yang dikembalikan oleh algoritma en kripsi.

Nilai otentikasi untuk frame. Ini digunakan untuk mengotentikasi seluruh bingkai.

Indikator untuk bingkai akhir. Nilai dikodekan sebagai 4 byte FF FF FF FF dalam notasi heksadesimal.

Nomor urutan bingkai. Ini adalah nomor penghitung inkremental untuk bingkai. Ini adalah nilai 4-byte yang ditafsirkan sebagai bilangan bulat 32-bit tanpa tanda tangan.

Data berbingkai harus dimulai pada urutan nomor 1. Frame berikutnya harus berurutan dan harus berisi kenaikan 1 dari frame sebelumnya. Jika tidak, proses dekripsi berhenti dan melaporkan kesalahan.

Vektor inisialisasi (IV) untuk frame. SDK menggunakan metode deterministik untuk membangun IV yang berbeda untuk setiap frame dalam pesan. Panjang panjang IV ditentukan oleh rangkaian algoritma.

Panjang konten terenkripsi. Ini adalah nilai 4-byte yang ditafsirkan sebagai bilangan bulat tanpa tanda 32-bit yang menentukan jumlah byte yang berisi konten terenkripsi untuk bingkai.

Konten terenkripsi (ciphertext) untuk frame, seperti yang dikembalikan oleh algoritma en kripsi.

Nilai otentikasi untuk frame. Ini digunakan untuk mengotentikasi seluruh bingkai.

Panjang tanda tangan. Ini adalah nilai 2-byte yang ditafsirkan sebagai bilangan bulat 16-bit tanpa tanda tangan yang menentukan jumlah byte yang berisi tanda tangan.

Tanda tangan.