Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

AWS KMS elementi essenziali della crittografia

AWS KMS è basato su un'architettura cripto-agile, che consente una migrazione fluida da un algoritmo o una modalità approvati a un altro man mano che gli standard si evolvono. Selezioniamo algoritmi crittografici potenti e ampiamente controllati e diamo priorità alle NIST-approved opzioni per garantire che i dati dei clienti rimangano protetti dalle minacce attuali ed emergenti.

Per ulteriori informazioni sugli algoritmi crittografici preferiti e accettabili, vedere. Algoritmi crittografici supportati

Entropia e generazione di numeri casuali

AWS KMS la generazione delle chiavi viene eseguita negli HSM. AWS KMS Gli HSM implementano un generatore ibrido di numeri casuali che utilizza il NIST SP800-90A Deterministic Random Bit Generator (DRBG) CTR_DRBG using AES-2 56. Inizia con un generatore di bit casuale non deterministico con 384 bit di entropia ed è aggiornato con entropia aggiuntiva per fornire resistenza di previsione su ogni chiamata per il materiale crittografico.

Operazioni con chiavi simmetriche (solo crittografia)

Tutti i comandi di cifratura a chiave simmetrica utilizzati all'interno dei moduli di protezione hardware utilizzanostandard di crittografia avanzati (Advanced Encryption Standards, AES), in Modalità contatore Galois (GCM) con chiavi a 256 bit. Le chiamate analoghe per decrittografare utilizzano la funzione inversa.

AES-GCM è uno schema di crittografia autenticato. Oltre a crittografare testo in chiaro per produrre testo cifrato, calcola un tag di autenticazione sul testo cifrato e tutti i dati aggiuntivi per i quali è richiesta l'autenticazione (dati autenticati in aggiunta, o AAD). Il tag di autenticazione consente di garantire che i dati provengano dall'origine presunta e che il testo cifrato e l'AAD non siano stati modificati.

Spesso AWS omette l'inclusione dell'AAD nelle nostre descrizioni, specialmente quando si fa riferimento alla crittografia delle chiavi di dati. In questi casi, il testo circostante implica che la struttura da crittografare sia partizionata tra il testo in chiaro da crittografare e l'AAD in chiaro da proteggere.

AWS KMS offre la possibilità di importare il materiale chiave in un formato AWS KMS key anziché affidarsi a esso AWS KMS per generare il materiale chiave. Questo materiale chiave importato può essere crittografato utilizzando RSAES-OAEP per proteggere la chiave durante il trasporto verso l' AWS KMS HSM. Le coppie di chiavi RSA vengono generate su AWS KMS HSM. Il materiale chiave importato viene decrittografato su un AWS KMS HSM e nuovamente crittografato AES-GCM prima di essere archiviato dal servizio.

Operazioni con chiave asimmetrica (crittografia, firma digitale e verifica della firma)

AWS KMS supporta l'uso di operazioni con chiave asimmetrica per la crittografia, la firma digitale e le operazioni relative agli accordi con le chiavi. Le operazioni con chiavi asimmetriche si basano su una coppia di chiavi pubbliche e private correlate matematicamente che è possibile utilizzare per la crittografia e la decrittografia, la firma e la verifica della firma o la derivazione di segreti condivisi. La chiave privata non viene mai decrittografata. AWS KMS Puoi utilizzare la chiave pubblica all'interno AWS KMS richiamando le operazioni AWS KMS API oppure scaricare la chiave pubblica e utilizzarla all'esterno. AWS KMS

AWS KMS supporta i seguenti codici asimmetrici.

Funzioni di derivazione chiave

Una funzione di derivazione della chiave viene utilizzata per derivare chiavi aggiuntive da un segreto o da una chiave iniziale. AWS KMS utilizza una funzione di derivazione delle chiavi (KDF) per derivare le chiavi per chiamata per ogni crittografia in un. AWS KMS key Tutte le operazioni KDF utilizzano il KDF in modalità contatore tramite di HMAC [FIPS197] con SHA256 [FIPS180]. La chiave derivata a 256 bit viene utilizzata per AES-GCM crittografare o decrittografare i dati e le chiavi dei clienti.

AWS KMS uso interno delle firme digitali

Le firme digitali vengono utilizzate anche per autenticare comandi e comunicazioni tra entità AWS KMS . Tutte le entità del servizio dispongono di una coppia di chiavi ECDSA (Elliptic Curve Digital Signature Algorithm). Eseguono l'ECDSA come definito in Use of Elliptic Curve Cryptography (ECC) Algorithms in Cryptographic Message Syntax (CMS) e X9.62-2005: Public Key Cryptography for the Financial Services Industry: The Elliptic Curve Digital Signature Algorithm (ECDSA). Le entità utilizzano l'algoritmo hash sicuro definito in Pubblicazioni degli standard di elaborazione delle informazioni federali, FIPS PUB 180-4, noto come SHA384. Le chiavi vengono generate sulla NIST-P384 curva secp384r1 ().

Crittografia envelope

Quando esegui la crittografia dei dati, i dati sono protetti, ma è necessario proteggere la chiave crittografica. Una strategia consiste nel crittografarla. La Crittografia envelope consiste nel crittografare i dati di testo normale con una chiave di dati, quindi crittografare la chiave di dati in un'altra chiave.

È anche possibile crittografare la chiave crittografica dei dati in un'altra chiave crittografica e crittografare tale chiave crittografica con un'altra chiave crittografica. Alla fine, però, una chiave deve rimanere in testo normale in modo da poter decrittografare le chiavi e i dati. Questa chiave crittografica di primo livello della chiave in testo normale è nota come chiave radice.

AWS KMS ti aiuta a proteggere le tue chiavi di crittografia archiviandole e gestendole in modo sicuro. La chiave root archiviata in AWS KMS, nota come AWS KMS keys, non lascia mai non crittografati i moduli di sicurezza hardware convalidati AWS KMS FIPS 140-3 Security Level 3. Per utilizzare una chiave KMS, è necessario chiamare. AWS KMS

Una costruzione di base utilizzata all'interno di molti sistemi di crittografia è la crittografia envelope. La crittografia envelope utilizza due o più chiavi di crittografia per proteggere un messaggio. In genere, una chiave è derivata da una chiave statica a lungo termine k e un'altra chiave è una chiave per messaggio, msgKey, che viene generata per crittografare il messaggio. L'envelope è formata crittografando il messaggio: ciphertext = Encrypt(msgKey, message). Quindi la chiave del messaggio viene crittografata con la chiave statica a lungo termine: encKey = Encrypt(k, msgKey). Infine, i due valori (encKey, ciphertext) sono assemblati in un'unica struttura, o messaggio crittografato con envelope.

Il destinatario, con accesso a k, può aprire il messaggio con envelope decrittando prima la chiave crittografata e quindi il messaggio.

AWS KMS offre la possibilità di gestire queste chiavi statiche a lungo termine e di automatizzare il processo di crittografia a inviluppo dei dati.

Oltre alle funzionalità di crittografia fornite all'interno del AWS KMS servizio, Encryption SDK fornisce librerie di AWS crittografia delle buste sul lato client. È possibile utilizzare queste librerie per proteggere i dati e le chiavi di crittografia utilizzate per crittografare i dati.

La crittografia envelope offre diversi vantaggi:

Operazioni di crittografia

In AWS KMS, le operazioni crittografiche sono operazioni API che utilizzano chiavi KMS per proteggere i dati. Poiché le chiavi KMS rimangono all'interno AWS KMS, è necessario chiamare AWS KMS per utilizzare una chiave KMS in un'operazione di crittografia.

Per eseguire operazioni crittografiche con le chiavi KMS, usa gli AWS SDK, () o il. AWS Command Line Interface AWS CLI AWS Strumenti per PowerShell Non è possibile eseguire operazioni di crittografia nella console AWS KMS . Per esempi di chiamata delle operazioni crittografiche in diversi linguaggi di programmazione, consulta Esempi di codice per AWS KMS l'utilizzo AWS SDKs.

La tabella seguente elenca le operazioni crittografiche. AWS KMS Viene illustrato anche il tipo di chiave e i requisiti di utilizzo della chiave per le chiavi KMS usate nell'operazione.

[1] Genera coppie di chiavi di dati asimmetriche protette da una chiave KMS di crittografia simmetrica.

Per informazioni sulle autorizzazioni per le operazioni di crittografia, consulta AWS KMS autorizzazioni.

Per renderla AWS KMS reattiva e altamente funzionale per tutti gli utenti, AWS KMS stabilisce delle quote sul numero di operazioni crittografiche eseguite ogni secondo. Per informazioni dettagliate, vedi Quote condivise per le operazioni di crittografia.