DynamoDB용 Java 클라이언트측 암호화 라이브러리 사용

이 주제에서는 DynamoDB용 Java 클라이언트측 암호화 라이브러리 버전 3.x의 일부 기능과 헬퍼 클래스에 대해 설명합니다.

DynamoDB용 Java 클라이언트 측 암호화 라이브러리를 사용한 프로그래밍에 대한 자세한 내용은 Java 예제, -dynamodb 리포지토리의 Java 예제를 참조하십시오. aws-database-encryption-sdk GitHub

항목 암호화 도구

SDKDynamoDB용 AWS 데이터베이스 암호화의 핵심은 항목 암호화기입니다. DynamoDB용 Java 클라이언트측 암호화 라이브러리 버전 3.x 를 사용하여 다음과 같은 방법으로 DynamoDB 테이블 항목을 암호화, 서명, 확인 및 복호화할 수 있습니다.

SDKDynamoDB용 AWS 데이터베이스 암호화의 속성 작업

속성 작업은 어떤 속성 값이 암호화되고 서명되는지, 어떤 속성 값이 서명만 되는지, 어떤 속성 값이 서명되고 암호화 컨텍스트에 포함되는지, 어떤 속성 값이 무시되는지를 결정합니다.

하위 수준 API DynamoDB 또는 DynamoDbItemEncryptor 하위 수준을 사용하는 경우 속성 작업을 수동으로 정의해야 합니다. DynamoDB Enhanced Client를 사용하는 경우 속성 작업을 수동으로 정의하거나 주석이 달린 데이터 클래스를 사용하여 TableSchema을 생성할 수 있습니다. 구성 프로세스를 단순화하려면 주석이 달린 데이터 클래스를 사용하는 것이 좋습니다. 주석이 달린 데이터 클래스를 사용하는 경우 객체를 한 번만 모델링하면 됩니다.

@DynamoDbBean
public class SimpleClass {

    private String partitionKey;
    private int sortKey;
    private String attribute1;
    private String attribute2;
    private String attribute3;

    @DynamoDbPartitionKey
    @DynamoDbAttribute(value = "partition_key")
    public String getPartitionKey() {
        return this.partitionKey;
    }

    public void setPartitionKey(String partitionKey) {
        this.partitionKey = partitionKey;
    }

    @DynamoDbSortKey
    @DynamoDbAttribute(value = "sort_key")
    public int getSortKey() {
        return this.sortKey;
    }

    public void setSortKey(int sortKey) {
        this.sortKey = sortKey;
    }

    public String getAttribute1() {
        return this.attribute1;
    }

    public void setAttribute1(String attribute1) {
        this.attribute1 = attribute1;
    }

    @DynamoDbEncryptionSignOnly
    public String getAttribute2() {
        return this.attribute2;
    }

    public void setAttribute2(String attribute2) {
        this.attribute2 = attribute2;
    }

    @DynamoDbEncryptionDoNothing
    public String getAttribute3() {
        return this.attribute3;
    }

    @DynamoDbAttribute(value = ":attribute3")
    public void setAttribute3(String attribute3) {
        this.attribute3 = attribute3;
    }
    
}

final TableSchema<SimpleClass> tableSchema = TableSchema.fromBean(SimpleClass.class);

final Map<String, CryptoAction> attributeActionsOnEncrypt = new HashMap<>();
// The partition attribute must be signed
attributeActionsOnEncrypt.put("partition_key", CryptoAction.SIGN_AND_INCLUDE_IN_ENCRYPTION_CONTEXT); 
// The sort attribute must be signed
attributeActionsOnEncrypt.put("sort_key", CryptoAction.SIGN_AND_INCLUDE_IN_ENCRYPTION_CONTEXT); 
attributeActionsOnEncrypt.put("attribute1", CryptoAction.ENCRYPT_AND_SIGN);
attributeActionsOnEncrypt.put("attribute2", CryptoAction.SIGN_ONLY);
attributeActionsOnEncrypt.put("attribute3", CryptoAction.SIGN_AND_INCLUDE_IN_ENCRYPTION_CONTEXT);
attributeActionsOnEncrypt.put(":attribute4", CryptoAction.DO_NOTHING);

SDKDynamoDB용 AWS 데이터베이스 암호화의 암호화 구성

AWS 데이터베이스 암호화를 SDK 사용하는 경우 DynamoDB 테이블의 암호화 구성을 명시적으로 정의해야 합니다. 암호화 구성에 필요한 값은 속성 작업을 수동으로 정의했는지 아니면 주석이 달린 데이터 클래스를 사용하여 정의했는지에 따라 달라집니다.

다음 스니펫은 DynamoDB Enhanced Client TableSchema를 사용하는 DynamoDB 테이블 암호화 구성을 정의하고 고유한 접두사로 정의된 서명되지 않은 속성을 허용합니다.

final Map<String, DynamoDbEnhancedTableEncryptionConfig> tableConfigs = new HashMap<>();
tableConfigs.put(ddbTableName,
        DynamoDbEnhancedTableEncryptionConfig.builder()
            .logicalTableName(ddbTableName)
            .keyring(kmsKeyring)
            .allowedUnsignedAttributePrefix(unsignedAttrPrefix)
            .schemaOnEncrypt(tableSchema)
            // Optional: only required if you use beacons
            .search(SearchConfig.builder() 
                    .writeVersion(1) // MUST be 1
                    .versions(beaconVersions)
                    .build())         
            .build());

데이터베이스 암호화로 항목 업데이트 AWS SDK

AWS 데이터베이스 암호화는 암호화되거나 서명된 항목에 UpdateItem 대해 ddb:를 SDK 지원하지 않습니다. 암호화되거나 서명된 항목을 업데이트하려면 ddb:를 사용해야 합니다. PutItem PutItem 요청에 기존 항목과 동일한 프라이머리 키를 지정하면 새 항목이 기존 항목을 완전히 대체합니다. 항목을 업데이트한 후 저장 시 모든 속성을 지우고 바꾸는 CLOBBER데 사용할 수도 있습니다.

서명된 집합 암호 해독

AWS 데이터베이스 암호화 SDK 버전 3.0.0 및 3.1.0에서는 집합 유형 속성을 로 SIGN_ONLY 정의하면 해당 집합의 값이 제공된 순서대로 정규화됩니다. DynamoDB는 집합의 순서를 보존하지 않습니다. 따라서 집합을 포함하는 항목의 서명 검증이 실패할 수 있습니다. 집합의 값이 AWS 데이터베이스 암호화에 SDK 제공된 순서와 다른 순서로 반환되면 집합 속성에 동일한 값이 포함되어 있더라도 서명 검증이 실패합니다.

서명 검증이 실패하는 경우 암호 해독 작업이 실패하고 다음 오류 메시지가 반환됩니다.

위의 오류 메시지가 표시되고 해독하려는 항목에 버전 3.0.0 또는 3.1.0을 사용하여 서명된 세트가 포함되어 있다고 생각되면 세트를 성공적으로 검증하는 방법에 GitHub 대한 자세한 내용은 aws-database-encryption-sdk -dynamodb-java 저장소의 DecryptWithPermute디렉터리를 참조하십시오.