AWS Encryption SDK メッセージ形式のリファレンス

このメッセージ形式のバージョン。バージョンは 1 または 2 で、16 進数表記のバイト 01 または 02 としてエンコードされます。

このメッセージ形式のタイプ。タイプは構造の種類を示します。カスタマー認証暗号化データとして示されるタイプのみがサポートされています。そのタイプの値は 128 で、16 進数表記のバイト 80 でエンコードされます。

このフィールドは、メッセージ形式バージョン 2 では存在しません。

使用されるアルゴリズムの識別子。これは 16 ビットの符号なし整数として解釈される 2 バイトの値です。アルゴリズムの詳細については、「AWS Encryption SDK アルゴリズムリファレンス」を参照してください。

メッセージを識別するランダムに生成された値。メッセージ ID｡

この値は、メッセージ形式バージョン 1 で 128 ビット、バージョン 2 では 256 ビットです。

追加の認証済みデータの長さ (AAD）。これは、 を含むバイト数を指定する 16 ビットの符号なし整数として解釈される 2 バイト値ですAAD。

暗号化コンテキストが空の場合、Length AAD フィールドの値は 0 です。

追加認証データ。AAD は、暗号化コンテキスト のエンコードです。キーと値のペアの配列で、各キーと値は UTF-8 でエンコードされた文字の文字列です。暗号化コンテキストは一連のバイトに変換され、AAD値に使用されます。暗号化コンテキストが空の場合、 ヘッダーに AADフィールドはありません。

署名付きのアルゴリズムを使用する場合、暗号化コンテキストにはキーと値のペア {'aws-crypto-public-key', Qtxt} が含まれている必要があります。Qtxt は、SEC1 バージョン 2.0 に従って圧縮され、base64 でエンコードされた楕円曲線ポイント Q を表します。暗号化コンテキストには追加の値を含めることができますが、構築される の最大長AADは 2^16～1 バイトです。

次の表は、 を形成するフィールドを示していますAAD。キーと値のペアは、UTF-8 文字のコードに従って、キーごとに昇順にソートされます。バイトは示されている順に追加されます。

暗号化されたデータキーの数。これは、暗号化されたデータキーの数を指定する 16 ビットの符号なし整数として解釈される 2 バイトの値です。各メッセージの暗号化されたデータキーの最大数は 65,535 (2^16 - 1) です。

暗号化されたデータキーのシーケンス。シーケンスの長さは暗号化されたデータキーの数とそれぞれの長さによって決まります。シーケンスには、少なくとも 1 つの暗号化されたデータキーが含まれています。

以下の表では、暗号化された各データキーを形成するフィールドについて説明します。バイトは示されている順に追加されます。

暗号化されたデータのタイプ (フレーム化されていないデータまたはフレーム化されたデータ)。

フレーム化されたデータは同じ長さのパートに分割されます。各パートは別々に暗号化されます。フレーム化されたコンテンツはタイプ 2 で、16 進数表記のバイト 02 としてエンコードされます。

フレーム化されていないデータは分割されず、1 つの暗号化された BLOB になります。フレーム化されていないコンテンツはタイプ 1 で、16 進数表記のバイト 01 としてエンコードされます。

予約された 4 バイトのシーケンスです。この値は、0 である必要があります。これは 16 進数でバイト 00 00 00 00 としてエンコードされます (つまり、0 と等しい 4 バイトシーケンスの 32 ビット整数値)。

このフィールドは、メッセージ形式バージョン 2 では存在しません。

初期化ベクトル (IV) の長さ。これは、IV を含むバイト数を指定する 8 ビットの符号なし整数として解釈される 1 バイトの値です。この値はメッセージを生成したアルゴリズムの IV バイト値によって決まります。

このフィールドはメッセージ形式バージョン 2 には存在しません。バージョン 2 では、メッセージヘッダーで確定的 IV 値を使用するアルゴリズムスイートのみがサポートされます。

フレーム化されたデータの各フレームの長さ。これは、各フレームのバイト数を指定する 32 ビットの符号なし整数として解釈される 4 バイトの値です。データがフレーム化されていないとき、つまり Content Type フィールドが 1 であるとき、この値は 0 である必要があります。

メッセージを生成したアルゴリズムが必要とする補足データ。長さと内容はアルゴリズムによって決定されます。その長さは 0 になる場合があります。

このフィールドは、メッセージ形式バージョン 1 では存在しません。

ヘッダー認証は、メッセージを生成したアルゴリズムよって決まります。ヘッダー認証はヘッダー全体で計算されます。IV と認証タグで構成されています。バイトは示されている順に追加されます。

暗号化アルゴリズム で使用する初期化ベクトル (IV)。

暗号化されたコンテンツ、または暗号化テキストの長さ。これは、暗号化されたコンテンツを含むバイト数を指定する 64 ビットの符号なし整数として解釈される 8 バイトの値です。

技術的には、最大許容値は 2^63-1、または 8 エクスビバイト (8 EiB) です。ただし、実装されたアルゴリズムによって設定されている制限が原因で、実際の最大値は 2^36-32、または 64 ギビバイト (64 GiB) です。

暗号化アルゴリズムによって返される暗号化されたコンテンツ (暗号化テキスト)。

本文の認証値。メッセージ本文を認証するために使用されます。

フレームシーケンス番号。これはフレームの増分カウンタです。これは 32 ビットの符号なし整数として解釈される 4 バイトの値です。

フレームデータはシーケンス番号 1 で始まる必要があります。後続のフレームは、順番に並んでいなければならず、1 つ前のフレームの増分を含む必要があります。それ以外の場合、復号プロセスは停止して、エラーが表示されます。

フレームの初期化ベクトル (IV)。SDK は、決定論的メソッドを使用して、メッセージ内のフレームごとに異なる IV を構築します。その長さは使用されるアルゴリズムスイートで指定されます。

暗号化アルゴリズムによって返されるフレームの暗号化されたコンテンツ (暗号化テキスト)。

フレームの認証値。フレーム全体を認証するために使用されます。

最終フレームのインジケータです。その値は 16 進数表記の 4 バイト FF FF FF FF としてエンコードされます。

フレームシーケンス番号。これはフレームの増分カウンタです。これは 32 ビットの符号なし整数として解釈される 4 バイトの値です。

フレームデータはシーケンス番号 1 で始まる必要があります。後続のフレームは、順番に並んでいなければならず、1 つ前のフレームの増分を含む必要があります。それ以外の場合、復号プロセスは停止して、エラーが表示されます。

フレームの初期化ベクトル (IV)。SDK は、決定論的メソッドを使用して、メッセージ内のフレームごとに異なる IV を構築します。IV の長さはアルゴリズムスイートによって指定されます。

暗号化されたコンテンツの長さ。これは、フレームの暗号化されたコンテンツを含むバイト数を指定する 32 ビットの符号なし整数として解釈される 4 バイトの値です。

暗号化アルゴリズムによって返されるフレームの暗号化されたコンテンツ (暗号化テキスト)。

フレームの認証値。フレーム全体を認証するために使用されます。

署名の長さ。これは、署名を含むバイト数を指定する 16 ビットの符号なし整数として解釈される 2 バイトの値です。

署名