Eliminazione delle chiavi

L'eliminazione di una chiave crittografica AWS di pagamento elimina il materiale chiave e tutti i metadati associati alla chiave ed è irreversibile a meno che una copia della chiave non sia disponibile al di fuori di Payment Cryptography. AWS Dopo l'eliminazione di una chiave, non è più possibile decrittografare i dati crittografati con tale chiave, il che significa che i dati potrebbero diventare irrecuperabili. È necessario eliminare una chiave solo quando si è certi di non doverla più utilizzare e che nessun'altra parte la utilizza. Se non sei sicuro, valuta la possibilità di interrompere l'utilizzo della chiave anziché eliminarla. Puoi riattivare una chiave disattivata se hai bisogno di riutilizzarla in un secondo momento, ma non puoi recuperare una chiave di crittografia di AWS pagamento eliminata a meno che tu non sia in grado di reimportarla da un'altra fonte.

Prima di eliminare una chiave, assicurati di non averne più bisogno. AWS Payment Cryptography non memorizza i risultati di operazioni crittografiche come CVV2 e non è in grado di determinare se è necessaria una chiave per qualsiasi materiale crittografico persistente.

AWS Payment Cryptography non elimina mai le chiavi appartenenti agli AWS account attivi a meno che l'utente non ne pianifichi esplicitamente l'eliminazione e scada il periodo di attesa obbligatorio.

Tuttavia, potresti scegliere di eliminare una chiave di crittografia dei AWS pagamenti per uno o più dei seguenti motivi:

AWS Payment Cryptography registra una voce nel AWS CloudTrail registro quando si pianifica l'eliminazione della chiave di crittografia di AWS pagamento e quando la chiave di crittografia di AWS pagamento viene effettivamente eliminata.

Quando si utilizza Multi-Region la replica delle chiavi, si elimina una chiave di crittografia di pagamento che è una chiave della regione primaria (PRK), anche le chiavi della regione di replica (RRK) verranno eliminate automaticamente. Un RRK non può essere eliminato come un PRK. Se desideri eliminare un RRK, dovrai modificare le regioni di replica per il tuo PRK.

Informazioni sul periodo di attesa

Poiché l'eliminazione di una chiave è irreversibile, AWS Payment Cryptography richiede di impostare un periodo di attesa compreso tra 3 e 180 giorni. Il periodo di attesa predefinito è di sette giorni.

Tuttavia, il periodo di attesa effettivo potrebbe essere fino a 24 ore più lungo di quello pianificato. Per ottenere la data e l'ora effettive in cui la chiave AWS di crittografia dei pagamenti verrà eliminata, utilizza le GetKey operazioni. Assicurati di segnare il fuso orario.

Durante il periodo di attesa, lo stato della chiave AWS di crittografia di pagamento e lo stato della chiave sono In attesa di eliminazione.

Al termine del periodo di attesa, AWS Payment Cryptography elimina la chiave di crittografia di pagamento, i relativi alias e tutti i relativi metadati di AWS Payment Cryptography. AWS

Utilizza il periodo di attesa per assicurarti di non aver bisogno della chiave di crittografia di AWS pagamento ora o in futuro. Se ritieni di aver bisogno della chiave durante il periodo di attesa, puoi annullare l'eliminazione della chiave prima della fine del periodo di attesa. Al termine del periodo di attesa, non è possibile annullare l'eliminazione della chiave e il servizio elimina la chiave.

$ aws payment-cryptography delete-key \
                    --key-identifier arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h
                  

  {
    "Key": {
        "KeyArn": "arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h",
        "KeyAttributes": {
            "KeyUsage": "TR31_V2_VISA_PIN_VERIFICATION_KEY",
            "KeyClass": "SYMMETRIC_KEY",
            "KeyAlgorithm": "TDES_3KEY",
            "KeyModesOfUse": {
                "Encrypt": false,
                "Decrypt": false,
                "Wrap": false,
                "Unwrap": false,
                "Generate": true,
                "Sign": false,
                "Verify": true,
                "DeriveKey": false,
                "NoRestrictions": false
            }
        },
        "KeyCheckValue": "0A3674",
        "KeyCheckValueAlgorithm": "ANSI_X9_24",
        "Enabled": false,
        "Exportable": true,
        "KeyState": "DELETE_PENDING",
        "KeyOrigin": "AWS_PAYMENT_CRYPTOGRAPHY",
        "CreateTimestamp": "2023-06-05T12:01:29.969000-07:00",
        "UsageStopTimestamp": "2023-06-05T14:31:13.399000-07:00",
        "DeletePendingTimestamp": "2023-06-12T14:58:32.865000-07:00"
    }
}

$ aws payment-cryptography restore-key --key-identifier arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h
                    

{
    "Key": {
        "KeyArn": "arn:aws:payment-cryptography:us-east-2:111122223333:key/kwapwa6qaifllw2h",
        "KeyAttributes": {
            "KeyUsage": "TR31_V2_VISA_PIN_VERIFICATION_KEY",
            "KeyClass": "SYMMETRIC_KEY",
            "KeyAlgorithm": "TDES_3KEY",
            "KeyModesOfUse": {
                "Encrypt": false,
                "Decrypt": false,
                "Wrap": false,
                "Unwrap": false,
                "Generate": true,
                "Sign": false,
                "Verify": true,
                "DeriveKey": false,
                "NoRestrictions": false
            }
        },
        "KeyCheckValue": "0A3674",
        "KeyCheckValueAlgorithm": "ANSI_X9_24",
        "Enabled": false,
        "Exportable": true,
        "KeyState": "CREATE_COMPLETE",
        "KeyOrigin": "AWS_PAYMENT_CRYPTOGRAPHY",
        "CreateTimestamp": "2023-06-08T12:01:29.969000-07:00",
        "UsageStopTimestamp": "2023-06-08T14:31:13.399000-07:00"
    }
}