AWS Encryption SDK referensi format pesan

Versi format pesan ini. Versi ini adalah 1 atau 2 dikodekan sebagai byte 01 atau 02 dalam notasi heksadesimal

Jenis format pesan ini. Jenis menunjukkan jenis struktur. Satu-satunya jenis yang didukung digambarkan sebagai data terenkripsi yang diautentikasi pelanggan. Nilai tipenya adalah 128, dikodekan sebagai byte 80 dalam notasi heksadesimal.

Bidang ini tidak ada dalam format pesan versi 2.

Pengidentifikasi untuk algoritma yang digunakan. Ini adalah nilai 2-byte yang ditafsirkan sebagai integer unsigned 16-bit. Untuk informasi selengkapnya tentang algoritme, lihatAWS Encryption SDK referensi algoritma.

Nilai yang dihasilkan secara acak yang mengidentifikasi pesan. ID Pesan:

Nilai ini adalah 128 bit dalam format pesan versi 1 dan 256 bit dalam versi 2.

Panjang data tambahan yang diautentikasi (AAD). Ini adalah nilai 2-byte yang ditafsirkan sebagai integer unsigned 16-bit yang menentukan jumlah byte yang berisi file. AAD

Ketika konteks enkripsi kosong, nilai bidang AAD Panjang adalah 0.

Data tambahan yang diautentikasi. AADIni adalah pengkodean konteks enkripsi, array pasangan kunci-nilai di mana setiap kunci dan nilai adalah string UTF -8 karakter yang dikodekan. Konteks enkripsi dikonversi ke urutan byte dan digunakan untuk AAD nilai. Ketika konteks enkripsi kosong, tidak ada AAD bidang di header.

Ketika algoritma dengan penandatanganan digunakan, konteks enkripsi harus berisi pasangan kunci-nilai. {'aws-crypto-public-key', Qtxt} Qtxt mewakili titik kurva elips Q dikompresi menurut SEC1 versi 2.0 dan kemudian dikodekan base64. Konteks enkripsi dapat berisi nilai tambahan, tetapi panjang maksimum yang dibangun AAD adalah 2 ^ 16 - 1 byte.

Tabel berikut menjelaskan bidang yang membentukAAD. Pasangan nilai kunci diurutkan, berdasarkan kunci, dalam urutan menaik menurut UTF kode karakter -8. Byte ditambahkan dalam urutan yang ditunjukkan.

Jumlah kunci data terenkripsi. Ini adalah nilai 2-byte yang ditafsirkan sebagai integer unsigned 16-bit yang menentukan jumlah kunci data terenkripsi. Jumlah maksimum kunci data terenkripsi di setiap pesan adalah 65.535 (2 ^ 16 - 1).

Urutan kunci data terenkripsi. Panjang urutan ditentukan oleh jumlah kunci data terenkripsi dan panjang masing-masing. Urutan berisi setidaknya satu kunci data terenkripsi.

Tabel berikut menjelaskan bidang yang membentuk setiap kunci data terenkripsi. Byte ditambahkan dalam urutan yang ditunjukkan.

Jenis data terenkripsi, baik nonframed atau framed.

Data berbingkai dibagi menjadi bagian yang sama panjangnya; setiap bagian dienkripsi secara terpisah. Konten berbingkai adalah tipe 2, dikodekan sebagai byte 02 dalam notasi heksadesimal.

Data nonframed tidak dibagi; itu adalah gumpalan terenkripsi tunggal. Konten non-framed adalah tipe 1, dikodekan sebagai byte 01 dalam notasi heksadesimal.

Urutan cadangan 4 byte. Nilai ini harus 0. Ini dikodekan sebagai byte 00 00 00 00 dalam notasi heksadesimal (yaitu, urutan 4-byte dari nilai integer 32-bit sama dengan 0).

Bidang ini tidak ada dalam format pesan versi 2.

Panjang vektor inisialisasi (IV). Ini adalah nilai 1-byte ditafsirkan sebagai 8-bit unsigned integer yang menentukan jumlah byte yang berisi IV. Nilai ini ditentukan oleh nilai IV byte dari algoritma yang menghasilkan pesan.

Bidang ini tidak ada dalam format pesan versi 2, yang hanya mendukung rangkaian algoritme yang menggunakan nilai IV deterministik di header pesan.

Panjang setiap frame data berbingkai. Ini adalah nilai 4-byte yang ditafsirkan sebagai integer unsigned 32-bit yang menentukan jumlah byte di setiap frame. Ketika data tidak dibingkai, yaitu, ketika nilai Content Type bidang adalah 1, nilai ini harus 0.

Data tambahan yang dibutuhkan oleh algoritma yang menghasilkan pesan. Panjang dan isi ditentukan oleh algoritma. Panjangnya mungkin 0.

Bidang ini tidak ada dalam format pesan versi 1.

Otentikasi header ditentukan oleh algoritma yang menghasilkan pesan. Otentikasi header dihitung di seluruh header. Ini terdiri dari IV dan tag otentikasi. Byte ditambahkan dalam urutan yang ditunjukkan.

Vektor inisialisasi (IV) untuk digunakan dengan algoritma enkripsi.

Panjang konten terenkripsi, atau ciphertext. Ini adalah nilai 8-byte yang ditafsirkan sebagai integer unsigned 64-bit yang menentukan jumlah byte yang berisi konten terenkripsi.

Secara teknis, nilai maksimum yang diizinkan adalah 2^63 - 1, atau 8 exbibytes (8 eIB). Namun, dalam praktiknya nilai maksimum adalah 2^36 - 32, atau 64 gibibytes (64 GiB), karena pembatasan yang diberlakukan oleh algoritma yang diterapkan.

Konten terenkripsi (ciphertext) seperti yang dikembalikan oleh algoritma enkripsi.

Nilai otentikasi untuk tubuh. Ini digunakan untuk mengautentikasi badan pesan.

Nomor urutan bingkai. Ini adalah nomor penghitung tambahan untuk bingkai. Ini adalah nilai 4-byte yang ditafsirkan sebagai bilangan bulat 32-bit yang tidak ditandatangani.

Data berbingkai harus dimulai dari nomor urut 1. Frame berikutnya harus berurutan dan harus berisi kenaikan 1 dari frame sebelumnya. Jika tidak, proses dekripsi berhenti dan melaporkan kesalahan.

Vektor inisialisasi (IV) untuk frame. SDKMenggunakan metode deterministik untuk membangun IV yang berbeda untuk setiap frame dalam pesan. Panjangnya ditentukan oleh rangkaian algoritma yang digunakan.

Konten terenkripsi (ciphertext) untuk frame, seperti yang dikembalikan oleh algoritma enkripsi.

Nilai otentikasi untuk frame. Ini digunakan untuk mengotentikasi seluruh frame.

Indikator untuk frame akhir. Nilai dikodekan sebagai 4 byte FF FF FF FF dalam notasi heksadesimal.

Nomor urutan bingkai. Ini adalah nomor penghitung tambahan untuk bingkai. Ini adalah nilai 4-byte yang ditafsirkan sebagai bilangan bulat 32-bit yang tidak ditandatangani.

Data berbingkai harus dimulai dari nomor urut 1. Frame berikutnya harus berurutan dan harus berisi kenaikan 1 dari frame sebelumnya. Jika tidak, proses dekripsi berhenti dan melaporkan kesalahan.

Vektor inisialisasi (IV) untuk frame. SDKMenggunakan metode deterministik untuk membangun IV yang berbeda untuk setiap frame dalam pesan. Panjang panjang IV ditentukan oleh rangkaian algoritma.

Panjang konten terenkripsi. Ini adalah nilai 4-byte ditafsirkan sebagai 32-bit unsigned integer yang menentukan jumlah byte yang berisi konten terenkripsi untuk frame.

Konten terenkripsi (ciphertext) untuk frame, seperti yang dikembalikan oleh algoritma enkripsi.

Nilai otentikasi untuk frame. Ini digunakan untuk mengotentikasi seluruh frame.

Panjang tanda tangan. Ini adalah nilai 2-byte ditafsirkan sebagai 16-bit unsigned integer yang menentukan jumlah byte yang berisi tanda tangan.

Tanda tangan.