Uso do DynamoDB Encryption Client para Java

Este tópico explica alguns dos recursos do DynamoDB Encryption Client para Java que talvez não sejam encontrados em outras implementações de linguagem de programação.

Para obter detalhes sobre a programação com o DynamoDB Encryption Client, consulte os exemplos em Java, os exemplos em GitHub on e o Javadoc para aws-dynamodb-encryption-java repository o DynamoDB Encryption Client.

Criptografadores de itens: AttributeEncryptor e D ynamoDBEncryptor

O DynamoDB Encryption Client em Java tem dois criptografadores de itens: o D de nível inferior e o. ynamoDBEncryptor AttributeEncryptor

AttributeEncryptorÉ uma classe auxiliar que ajuda você a usar o D ynamoDBMapper no AWS SDK for Java com o DynamoDB Encryptor no DynamoDB Encryption Client. Ao usar o AttributeEncryptor com o DynamoDBMapper, ele criptografa e assina seus itens de forma transparente quando você os salva. Ele também verifica e descriptografa seus itens de forma transparente quando você os carrega.

Configurar o comportamento de salvamento

É possível usar o AttributeEncryptor e o DynamoDBMapper para adicionar ou substituir itens de tabela com atributos assinados somente ou criptografados e assinados. Para essas tarefas, recomendamos que você o configure para usar o comportamento de salvamento PUT, conforme mostrado no exemplo a seguir. Caso contrário, talvez você não possa descriptografar os dados.

DynamoDBMapperConfig mapperConfig = DynamoDBMapperConfig.builder().withSaveBehavior(SaveBehavior.PUT).build();
DynamoDBMapper mapper = new DynamoDBMapper(ddb, mapperConfig, new AttributeEncryptor(encryptor));

Se você usar o comportamento padrão de salvamento, que atualiza somente os atributos que são modelados no item da tabela, os atributos não serão incluídos na assinatura e não serão alterado nas gravações da tabela. Como resultado, em leituras posteriores de todos os atributos, a assinatura não será validada porque não inclui atributos não modelados.

Também é possível usar o comportamento de salvamento CLOBBER. Esse comportamento é idêntico ao comportamento de salvamento PUT, exceto pelo fato de que ele desabilita o bloqueio otimista e substitui o item na tabela.

Para evitar erros de assinatura, o DynamoDB Encryption Client lança uma exceção de runtime se um AttributeEncryptor for usado com um DynamoDBMapper que não esteja configurado com um comportamento de salvamento de CLOBBER ou PUT.

Para ver esse código usado em um exemplo, consulte Usando o D ynamoDBMapper o exemplo AwsKmsEncryptedObjectde.java no aws-dynamodb-encryption-java repositório em. GitHub

Ações de atributos em Java

As Ações de atributos determinam quais valores de atributo são criptografados e assinados, quais são apenas assinados e quais são ignorados. O método usado para especificar ações de atributos depende se você usa o DynamoDBMapper e ou AttributeEncryptor o D de nível inferior. ynamoDBEncryptor

// Attributes are encrypted and signed
@DynamoDBAttribute(attributeName="Description")

// Partition keys are signed but not encrypted
@DynamoDBHashKey(attributeName="Title")

// Sort keys are signed but not encrypted
@DynamoDBRangeKey(attributeName="Author")

// Sign only
@DoNotEncrypt

// Do nothing; not encrypted or signed
@DoNotTouch

// Sign only (override the default)
@DoNotEncrypt
@DynamoDBAttribute(attributeName="PublicationYear")

// Do nothing (override the default)
@DoNotTouch
@DynamoDBAttribute(attributeName="ISBN")

ENCRYPT
SIGN

final EnumSet<EncryptionFlags> signOnly = EnumSet.of(EncryptionFlags.SIGN);
final EnumSet<EncryptionFlags> encryptAndSign = EnumSet.of(EncryptionFlags.ENCRYPT, EncryptionFlags.SIGN);
final Map<String, Set<EncryptionFlags>> actions = new HashMap<>();

for (final String attributeName : record.keySet()) {
  switch (attributeName) {
    case partitionKeyName: // no break; falls through to next case
    case sortKeyName:
      // Partition and sort keys must not be encrypted, but should be signed
      actions.put(attributeName, signOnly);
      break;
    case "test":
      // Don't encrypt or sign
      break;
    default:
      // Encrypt and sign everything else
      actions.put(attributeName, encryptAndSign);
      break;
  }
}

// Encrypt the plaintext record
final Map<String, AttributeValue> encrypted_record = encryptor.encryptRecord(record, actions, encryptionContext);

Substituir nomes de tabelas

No DynamoDB Encryption Client, o nome da tabela do DynamoDB é um elemento do contexto de criptografia do DynamoDB que é passado para os métodos de criptografia e de descriptografia. Quando você criptografa ou assina itens de tabela, o contexto de criptografia do DynamoDB, inclusive o nome da tabela, é vinculado criptograficamente ao texto cifrado. Se o contexto de criptografia do DynamoDB passado para o método de descriptografia não corresponder ao contexto de criptografia do DynamoDB passado para o método de criptografia, a operação de descriptografia falhará.

Ocasionalmente, o nome de uma tabela muda, como quando você faz backup de uma tabela ou executa uma point-in-time recuperação. Ao descriptografar ou verificar a assinatura desses itens, passe o mesmo contexto de criptografia do DynamoDB usado para criptografar e assinar os itens, inclusive o nome da tabela original. O nome da tabela atual não é necessário.

Quando você usa o DynamoDBEncryptor, você monta o contexto de criptografia do manualmente. No entanto, se você estiver usando o DynamoDBMapper, o AttributeEncryptor criará o contexto de criptografia do DynamoDB para você, incluindo o nome da tabela atual. Para informar ao AttributeEncryptor para criar um contexto de criptografia com um nome de tabela diferente, use o EncryptionContextOverrideOperator.

Por exemplo, o código a seguir cria instâncias do provedor de materiais criptográficos (CMP) e doDynamoDBEncryptor. Depois, ele chama o método setEncryptionContextOverrideOperator do DynamoDBEncryptor. Ele usa o operador overrideEncryptionContextTableName, que substitui um nome de tabela. Quando ele é configurado dessa maneira, o AttributeEncryptor cria um contexto de criptografia do DynamoDB que inclui newTableName no lugar de oldTableName. Para ver um exemplo completo, consulte EncryptionContextOverridesWithDynamoDBMapper.java.

final DirectKmsMaterialProvider cmp = new DirectKmsMaterialProvider(kms, keyArn);
final DynamoDBEncryptor encryptor = DynamoDBEncryptor.getInstance(cmp);

encryptor.setEncryptionContextOverrideOperator(EncryptionContextOperators.overrideEncryptionContextTableName(
                oldTableName, newTableName));

Quando você chama o método de carregamento do DynamoDBMapper, que descriptografa e verifica o item, você especifica o nome da tabela original.

mapper.load(itemClass, DynamoDBMapperConfig.builder()
                .withTableNameOverride(DynamoDBMapperConfig.TableNameOverride.withTableNameReplacement(oldTableName))
                .build());

Também é possível usar o operador overrideEncryptionContextTableNameUsingMap, que substitui vários nomes de tabela.

Normalmente, os operadores de substituição de nome de tabela são usados ao descriptografar dados e verificar assinaturas. No entanto, é possível usá-los para definir o nome da tabela no contexto de criptografia do DynamoDB como um valor diferente ao criptografar e assinar.

Não use os operadores de substituição de nome de tabela se estiver usando o DynamoDBEncryptor. Em vez disso, crie um contexto de criptografia com o nome da tabela original e envie-o para o método de descriptografia.