Chiavi di esportazione

Inizializza il processo di esportazione

Esegui get-parameters-for-export per generare una coppia di chiavi per le esportazioni di chiavi. Utilizziamo questa coppia di chiavi per firmare il TR-34 payload. Nella TR-34 terminologia, questo è il certificato di firma KDH. I certificati sono di breve durata e validi solo per la durata specificata in. ParametersValidUntilTimestamp

$ aws payment-cryptography get-parameters-for-export \
    --signing-key-algorithm RSA_2048 \
    --key-material-type TR34_KEY_BLOCK

{
  "SigningKeyCertificate": "LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSUV2RENDQXFTZ0F3SUJ...",
  "SigningKeyCertificateChain": "LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS....",
  "SigningKeyAlgorithm": "RSA_2048",
  "ExportToken": "export-token-au7pvkbsq4mbup6i",
  "ParametersValidUntilTimestamp": "2023-06-13T15:40:24.036000-07:00"
}

Importa il AWS Certificato di crittografia dei pagamenti sul tuo sistema di ricezione

Importa la catena di certificati dalla fase 1 al tuo sistema di ricezione.

Configura i certificati del tuo sistema di ricezione

Per proteggere il payload trasmesso, il mittente (KDH) lo crittografa. Il sistema ricevente (in genere il tuo HSM o l'HSM del tuo partner) deve generare una chiave pubblica e creare un certificato con chiave pubblica. X.509 È possibile AWS Private CA utilizzarlo per generare certificati, ma è possibile utilizzare qualsiasi autorità di certificazione.

Una volta ottenuto il certificato, importate il certificato principale in AWS Payment Cryptography utilizzando il ImportKey comando. Imposta KeyMaterialType su RootCertificatePublicKey e KeyUsageType su TR31_S0_ASYMMETRIC_KEY_FOR_DIGITAL_SIGNATURE.

Usiamo TR31_S0_ASYMMETRIC_KEY_FOR_DIGITAL_SIGNATURE come KeyUsageType perché questa è la chiave principale che firma il certificato foglia. Non è necessario importare i certificati leaf in AWS Payment Cryptography: puoi trasmetterli in linea.

Esporta la tua chiave

Chiama l'ExportKeyAPI con KeyMaterialType set toTR34_KEY_BLOCK. È necessario fornire:

$ aws payment-cryptography export-key \
    --export-key-identifier "example-export-key" \
    --key-material '{"Tr34KeyBlock": { \
    "CertificateAuthorityPublicKeyIdentifier": "arn:aws:payment-cryptography:us-east-2:111122223333:key/4kd6xud22e64wcbk", \
    "ExportToken": "export-token-au7pvkbsq4mbup6i", \
    "KeyBlockFormat": "X9_TR34_2012", \
    "WrappingKeyCertificate": "LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSUV2RENDQXFXZ0F3SUJBZ0lSQ..."} \
    }'

{
  "WrappedKey": {
    "KeyMaterial": "308205A106092A864886F70D010702A08205923082058...",
    "WrappedKeyMaterialFormat": "TR34_KEY_BLOCK"
  }
}

Genera una coppia di chiavi ECC

Chiama create-key per creare una coppia di chiavi ECC per questo processo. Questa API genera una coppia di chiavi per le importazioni o le esportazioni di chiavi. Al momento della creazione, specifica il tipo di chiavi che possono essere derivate utilizzando questa chiave ECC. Quando si utilizza ECDH per scambiare (avvolgere) altre chiavi, utilizzare un valore di. TR31_K1_KEY_BLOCK_PROTECTION_KEY

$ aws payment-cryptography create-key --exportable --key-attributes KeyAlgorithm=ECC_NIST_P256,KeyUsage=TR31_K3_ASYMMETRIC_KEY_FOR_KEY_AGREEMENT,KeyClass=ASYMMETRIC_KEY_PAIR,KeyModesOfUse='{DeriveKey=true}' --derive-key-usage "TR31_K1_KEY_BLOCK_PROTECTION_KEY"

{
        "Key": {
            "KeyArn": "arn:aws:payment-cryptography:us-east-2:111122223333:key/wc3rjsssguhxtilv",
            "KeyAttributes": {
                "KeyUsage": "TR31_K3_ASYMMETRIC_KEY_FOR_KEY_AGREEMENT",
                "KeyClass": "ASYMMETRIC_KEY_PAIR",
                "KeyAlgorithm": "ECC_NIST_P256",
                "KeyModesOfUse": {
                    "Encrypt": false,
                    "Decrypt": false,
                    "Wrap": false,
                    "Unwrap": false,
                    "Generate": false,
                    "Sign": false,
                    "Verify": false,
                    "DeriveKey": true,
                    "NoRestrictions": false
                }
            },
            "KeyCheckValue": "2432827F",
            "KeyCheckValueAlgorithm": "CMAC",
            "Enabled": true,
            "Exportable": true,
            "KeyState": "CREATE_COMPLETE",
            "KeyOrigin": "AWS_PAYMENT_CRYPTOGRAPHY",
            "CreateTimestamp": "2025-03-28T22:03:41.087000-07:00",
            "UsageStartTimestamp": "2025-03-28T22:03:41.068000-07:00"
        }
    }

Ottieni il certificato a chiave pubblica

Chiama get-public-key-certificate per ricevere la chiave pubblica sotto forma di X.509 certificato firmato dalla CA del tuo account, specifico per la crittografia dei AWS pagamenti in una regione specifica.

$ aws payment-cryptography get-public-key-certificate \
           --key-identifier arn:aws:payment-cryptography:us-east-2:111122223333:key/wc3rjsssguhxtilv
        

{
      "KeyCertificate": "LS0tLS1CRUdJTi...",
      "KeyCertificateChain": "LS0tLS1CRUdJT..."
    }

Installa il certificato pubblico sul sistema della controparte (Parte V)

Con molti HSM, è necessario installare, caricare o considerare attendibile il certificato pubblico generato nel passaggio 1 per stabilire le chiavi. Ciò potrebbe includere l'intera catena di certificati o solo il certificato principale, a seconda dell'HSM. Consulta la documentazione HSM per istruzioni specifiche.

Genera una coppia di chiavi ECC sul sistema sorgente e fornisci una catena di certificati a AWS Crittografia dei pagamenti

In ECDH, ciascuna parte genera una coppia di chiavi e concorda una chiave comune. AWS Affinché Payment Cryptography possa derivare la chiave, è necessaria la chiave pubblica della controparte in formato chiave pubblica. X.509

Quando trasferisci le chiavi da un HSM, crea una coppia di chiavi su quell'HSM. Per gli HSM che supportano i blocchi di chiavi, l'intestazione della chiave sarà simile a. D0144K3EX00E0000 Quando si crea il certificato, in genere si genera un CSR sull'HSM, quindi l'HSM, una terza parte o un servizio in grado di generare il AWS Private CA certificato.

Carica il certificato principale in AWS Payment Cryptography utilizzando il importKey comando con KeyMaterialType of e of. RootCertificatePublicKey KeyUsageType TR31_S0_ASYMMETRIC_KEY_FOR_DIGITAL_SIGNATURE

Per i certificati intermedi, usa il importKey comando con KeyMaterialType of TrustedCertificatePublicKey e KeyUsageType of. TR31_S0_ASYMMETRIC_KEY_FOR_DIGITAL_SIGNATURE Ripetere questa procedura per più certificati intermedi. Utilizzate KeyArn l'ultimo certificato importato della catena come input per i successivi comandi di esportazione.

Deriva la chiave e la chiave di esportazione da AWS Crittografia dei pagamenti

Durante l'esportazione, il servizio ricava una chiave utilizzando ECDH e quindi la utilizza immediatamente come KBPK per racchiudere la chiave da esportare utilizzando. TR-31 La chiave da esportare può essere qualsiasi chiave TDES o AES soggetta a combinazioni TR-31 valide, purché la chiave di wrapping sia forte almeno quanto la chiave da esportare.

$ aws payment-cryptography export-key \
            --export-key-identifier arn:aws:payment-cryptography:us-west-2:529027455495:key/e3a65davqhbpjm4h \
            --key-material='{
              "DiffieHellmanTr31KeyBlock": {
                "CertificateAuthorityPublicKeyIdentifier": "arn:aws:payment-cryptography:us-east-2:111122223333:key/swseahwtq2oj6zi5",
                "DerivationData": {
                  "SharedInformation": "ADEF567890"
                },
                "DeriveKeyAlgorithm": "AES_256",
                "KeyDerivationFunction": "NIST_SP800",
                "KeyDerivationHashAlgorithm": "SHA_256",
                "PrivateKeyIdentifier": "arn:aws:payment-cryptography:us-east-2:111122223333:key/wc3rjsssguhxtilv",
                "PublicKeyCertificate": "LS0tLS1CRUdJTiBDRVJUSUZJQ0FUR..."
              }
            }'

{
            "WrappedKey": {
                "WrappedKeyMaterialFormat": "TR31_KEY_BLOCK",
                "KeyMaterial": "D0112K1TB00E00007012724C0FAAF64DA50E2FF4F9A94DF50441143294E0E995DB2171554223EAA56D078C4CFCB1C112B33BBF05597EE700",
                "KeyCheckValue": "E421AD",
                "KeyCheckValueAlgorithm": "ANSI_X9_24"
            }
        }

Ricava una chiave una tantum usando ECDH su Party V HSM

Molti HSM e sistemi correlati supportano la creazione di chiavi tramite ECDH. Specifica la chiave pubblica della fase 1 come chiave pubblica e la chiave della fase 3 come chiave privata. Per le opzioni consentite, come i metodi di derivazione, consulta la guida API.

Importa la chiave nel sistema di destinazione

Infine, importa la chiave da AWS Payment Cryptography utilizzando TR-31 i comandi standard. Specifica la chiave derivata da ECDH come KBPK e usa il blocco di TR-31 chiavi precedentemente esportato da Payment Cryptography. AWS

Crea una chiave e un certificato RSA sul tuo sistema ricevente

Crea o identifica una chiave RSA per ricevere la chiave integrata. Richiediamo che le chiavi siano in formato X.509 certificato. Assicurati che il certificato sia firmato da un certificato radice che puoi importare in AWS Payment Cryptography.

Importa il certificato pubblico principale in AWS Crittografia dei pagamenti

Usalo import-key con l'--key-materialopzione per importare il certificato

$ aws payment-cryptography import-key \
    --key-material='{"RootCertificatePublicKey": { \
    "KeyAttributes": { \
    "KeyAlgorithm": "RSA_4096", \
    "KeyClass": "PUBLIC_KEY", \
    "KeyModesOfUse": {"Verify": true}, \
    "KeyUsage": "TR31_S0_ASYMMETRIC_KEY_FOR_DIGITAL_SIGNATURE"}, \
    "PublicKeyCertificate": "LS0tLS1CRUdJTiBDRV..."} \
    }'

{
  "Key": {
    "CreateTimestamp": "2023-09-14T10:50:32.365000-07:00",
    "Enabled": true,
    "KeyArn": "arn:aws:payment-cryptography:us-east-2:111122223333:key/nsq2i3mbg6sn775f",
    "KeyAttributes": {
      "KeyAlgorithm": "RSA_4096",
      "KeyClass": "PUBLIC_KEY",
      "KeyModesOfUse": {
        "Decrypt": false,
        "DeriveKey": false,
        "Encrypt": false,
        "Generate": false,
        "NoRestrictions": false,
        "Sign": false,
        "Unwrap": false,
        "Verify": true,
        "Wrap": false
      },
      "KeyUsage": "TR31_S0_ASYMMETRIC_KEY_FOR_DIGITAL_SIGNATURE"
    },
    "KeyOrigin": "EXTERNAL",
    "KeyState": "CREATE_COMPLETE",
    "UsageStartTimestamp": "2023-09-14T10:50:32.365000-07:00"
  }
}

Esporta la tua chiave

Chiedi a AWS Payment Cryptography di esportare la tua chiave utilizzando il tuo certificato leaf. Devi specificare:

L'output è una versione binaria (crittografata) con codifica esadecimale della chiave simmetrica.

$ cat export-key.json

{
  "ExportKeyIdentifier": "arn:aws:payment-cryptography:us-east-2:111122223333:key/tqv5yij6wtxx64pi",
  "KeyMaterial": {
    "KeyCryptogram": {
      "CertificateAuthorityPublicKeyIdentifier": "arn:aws:payment-cryptography:us-east-2:111122223333:key/zabouwe3574jysdl",
      "WrappingKeyCertificate": "LS0tLS1CRUdJTiBDEXAMPLE...",
      "WrappingSpec": "RSA_OAEP_SHA_256"
    }
  }
}

$ aws payment-cryptography export-key \
    --cli-input-json file://export-key.json

{
  "WrappedKey": {
    "KeyMaterial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
    "WrappedKeyMaterialFormat": "KEY_CRYPTOGRAM"
  }
}

Importa la chiave nel tuo sistema di ricezione

Molti HSM e sistemi correlati supportano l'importazione di chiavi tramite RSA unwrap (inclusa AWS la crittografia dei pagamenti). Durante l'importazione, specificare:

Configura la tua chiave di crittografia delle chiavi (KEK)

Assicurati di aver già scambiato il tuo KEK e di avere a disposizione il KeyArn (o KeyAlias).

Crea la tua chiave su AWS Crittografia dei pagamenti

Crea la tua chiave se non esiste già. In alternativa, puoi creare la chiave sull'altro sistema e utilizzare il comando import.

Esporta la tua chiave da AWS Crittografia dei pagamenti

Quando esporti in TR-31 formato, specifica la chiave che desideri esportare e la chiave di avvolgimento da utilizzare.

$ aws payment-cryptography export-key \
    --key-material='{"Tr31KeyBlock": \
    { "WrappingKeyIdentifier": "arn:aws:payment-cryptography:us-east-2:111122223333:key/ov6icy4ryas4zcza" }}' \
    --export-key-identifier arn:aws:payment-cryptography:us-east-2:111122223333:key/5rplquuwozodpwsp

{
  "WrappedKey": {
    "KeyCheckValue": "73C263",
    "KeyCheckValueAlgorithm": "ANSI_X9_24",
    "KeyMaterial": "D0144K0AB00E0000A24D3ACF3005F30A6E31D533E07F2E1B17A2A003B338B1E79E5B3AD4FBF7850FACF9A3784489581A543C84816C8D3542AE888CE6D4EDDFD09C39957B131617BC",
    "WrappedKeyMaterialFormat": "TR31_KEY_BLOCK"
  }
}

Importa la chiave nel tuo sistema

Usa l'implementazione della chiave di importazione del tuo sistema per importare la chiave.