Gerar uma assinatura com o mecanismo RSA-PKCS-PSS na CLI do CloudHSM - AWS CloudHSM
Tipo de usuárioRequisitosSintaxeExemploArgumentosTópicos relacionados

Gerar uma assinatura com o mecanismo RSA-PKCS-PSS na CLI do CloudHSM

Use o comando crypto sign rsa-pkcs-pss na CLI do CloudHSM para gerar uma assinatura usando uma chave privada RSA e o mecanismo de assinatura RSA-PKCS-PSS.

Para usar o comando crypto sign rsa-pkcs-pss, primeiro é necessário ter uma chave privada RSA em seu cluster do AWS CloudHSM. Você pode gerar uma chave privada RSA usando o comando Gerar um par de chaves assimétricas RSA com a CLI do CloudHSM com o atributo sign definido como true.

nota

As assinaturas podem ser verificadas no AWS CloudHSM com os subcomandos contidos em A categoria de verificação de criptografia na CLI do CloudHSM.

Tipo de usuário

Os seguintes tipos de usuários podem executar este comando.

  • Usuários de criptografia (CUs)

Requisitos

  • Para executar esse comando, você deve estar registrado como um CU.

Sintaxe

aws-cloudhsm > help crypto sign rsa-pkcs-pss
Sign with the RSA-PKCS-PSS mechanism

Usage: crypto sign rsa-pkcs-pss [OPTIONS] --key-filter [<KEY_FILTER>...] --hash-function <HASH_FUNCTION> --mgf <MGF> --salt-length <SALT_LENGTH> <--data-path <DATA_PATH>|--data <DATA>>

Options:
      --cluster-id <CLUSTER_ID>        Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --key-filter [<KEY_FILTER>...]   Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key
      --hash-function <HASH_FUNCTION>  [possible values: sha1, sha224, sha256, sha384, sha512]
      --data-path <DATA_PATH>          The path to the file containing the data to be signed
      --data <DATA>                    Base64 Encoded data to be signed
      --mgf <MGF>                      The mask generation function [possible values: mgf1-sha1, mgf1-sha224, mgf1-sha256, mgf1-sha384, mgf1-sha512]
      --salt-length <SALT_LENGTH>      The salt length
  -h, --help                           Print help

Exemplo

Esses exemplos mostram como usar o crypto sign rsa-pkcs-pss para gerar uma assinatura usando o mecanismo de assinatura RSA-PKCS-PSS e a função hash SHA256. Esse comando usa uma chave privada no HSM.

exemplo Exemplo: gerar uma assinatura para dados codificados em base 64
aws-cloudhsm > crypto sign rsa-pkcs-pss --key-filter attr.label=rsa-private --hash-function sha256 --data YWJjMTIz --salt-length 10 --mgf mgf1-sha256
{
  "error_code": 0,
  "data": {
    "key-reference": "0x00000000007008db",
    "signature": "H/z1rYVMzNAa31K4amE5MTiwGxDdCTgQXCJXRBKVOVm7ZuyI0fGE4sT/BUN+977mQEV2TqtWpTsiF2IpwGM1VfSBRt7h/g4o6YERm1tTQLl7q+AJ7uGGK37zCsWQrAo7Vy8NzPShxekePo/ZegrB1aHWN1fE8H3IPUKqLuMDI9o1Jq6kM986ExS7YmeOIclcZkyykTWqHLQVL2C3+A2bHJZBqRcM5XoIpk8HkPypjpN+m4FNUds30GAemoOMl6asSrEJSthaZWV53OBsDOqzA8Rt8JdhXS+GZp3vNLdL1OTBELDPweXVgAu4dBX0FOvpw/gg6sNvuaDK4YOBv2fqKg=="
  }
}
exemplo Exemplo: gerar uma assinatura para um arquivo de dados
aws-cloudhsm > crypto sign rsa-pkcs-pss --key-filter attr.label=rsa-private --hash-function sha256 --data-path data.txt --salt-length 10 --mgf mgf1-sha256
{
  "error_code": 0,
  "data": {
    "key-reference": "0x00000000007008db",
    "signature": "H/z1rYVMzNAa31K4amE5MTiwGxDdCTgQXCJXRBKVOVm7ZuyI0fGE4sT/BUN+977mQEV2TqtWpTsiF2IpwGM1VfSBRt7h/g4o6YERm1tTQLl7q+AJ7uGGK37zCsWQrAo7Vy8NzPShxekePo/ZegrB1aHWN1fE8H3IPUKqLuMDI9o1Jq6kM986ExS7YmeOIclcZkyykTWqHLQVL2C3+A2bHJZBqRcM5XoIpk8HkPypjpN+m4FNUds30GAemoOMl6asSrEJSthaZWV53OBsDOqzA8Rt8JdhXS+GZp3vNLdL1OTBELDPweXVgAu4dBX0FOvpw/gg6sNvuaDK4YOBv2fqKg=="
  }
}

Argumentos

<CLUSTER_ID>

O ID do cluster em que essa operação será executada.

Obrigatório: se vários clusters tiverem sido configurados.

<DATA>

Dados codificados em Base64 a serem assinados.

Obrigatório: sim (a menos que seja fornecido por meio do caminho de dados)

<DATA_PATH>

Especifica o local dos dados a serem assinados.

Obrigatório: sim (a menos que seja fornecido por meio de dados)

<HASH_FUNCTION>

Especifica a função hash.

Valores válidos:

  • sha1

  • sha224

  • sha256

  • sha384

  • sha512

Obrigatório: Sim

<KEY_FILTER>

Referência de chave (por exemplo, key-reference=0xabc) ou lista separada por espaços de atributos de chave na forma de attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE selecionar uma chave correspondente.

Para obter uma lista dos atributos de chave compatíveis com a CLI do CloudHSM, consulte Atributos de chave da CLI do CloudHSM.

Obrigatório: Sim

<MGF>

Especifica a função de geração da máscara.

nota

A função hash da função de geração de máscara deve corresponder à função hash do mecanismo de assinatura.

Valores válidos:

  • mgf1-sha1

  • mgf1-sha224

  • mgf1-sha256

  • mgf1-sha384

  • mgf1-sha512

Obrigatório: Sim

<SALT_LENGTH>

Especifica o comprimento do sal.

Obrigatório: Sim

Tópicos relacionados