AWS Encryption SDK para. NETexemplos

Comece instanciando a biblioteca AWS Encryption SDK e a biblioteca dos fornecedores de materiais. Você usará os métodos do AWS Encryption SDK para criptografar e descriptografar dados. Você usará os métodos na biblioteca de fornecedores de materiais para criar os tokens de autenticação que especificam quais chaves protegem seus dados.

A forma como você instancia a biblioteca AWS Encryption SDK e a biblioteca de fornecedores de materiais difere entre as versões 3. x e 4. x do AWS Encryption SDK formulário. NET. Todas as etapas a seguir são as mesmas para ambas as versões 3. x e 4. x do AWS Encryption SDK formulário. NET.

Cada método que cria um token de autenticação tem uma classe de objeto de entrada correspondente. Por exemplo, para criar o objeto de entrada para o método CreateAwsKmsKeyring(), crie uma instância da classe CreateAwsKmsKeyringInput.

Embora a entrada desse chaveiro não especifique uma chave geradora, a KMS chave única especificada pelo KmsKeyId parâmetro é a chave geradora. Ela gera e criptografa a chave de dados que criptografa os dados.

Esse objeto de entrada requer um AWS KMS cliente para Região da AWS a KMS chave. Para criar um AWS KMS cliente, instancie a AmazonKeyManagementServiceClient classe no. AWS SDK for .NET Chamar o construtor AmazonKeyManagementServiceClient() sem parâmetros cria um cliente com os valores padrão.

Em um AWS KMS chaveiro usado para criptografar com o AWS Encryption SDK for. NET, você pode identificar KMS as chaves usando o ID da chave, a chaveARN, o nome do alias ou o ARN alias. Em um AWS KMS chaveiro usado para descriptografar, você deve usar uma chave ARN para identificar cada chave. KMS Se você planeja reutilizar seu chaveiro de criptografia para descriptografar, use um identificador de chave ARN para todas as chaves. KMS

string keyArn = "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab";

// Instantiate the keyring input object
var kmsKeyringInput = new CreateAwsKmsKeyringInput
{    
    KmsClient = new AmazonKeyManagementServiceClient(),
    KmsKeyId = keyArn
};

Para criar o token de autenticação, chame o método do token de autenticação com o objeto de entrada do token de autenticação. Este exemplo usa o CreateAwsKmsKeyring() método, que usa apenas uma KMS chave.

var keyring = materialProviders.CreateAwsKmsKeyring(kmsKeyringInput);

Um contexto de criptografia é um elemento opcional, mas altamente recomendado, de operações criptográficas no AWS Encryption SDK. Você pode definir um ou mais pares de chave-valor não secretos.

// Define the encryption context
var encryptionContext = new Dictionary<string, string>()
{
    {"purpose", "test"}
};

Antes de chamar o método Encrypt(), crie uma instância da classe EncryptInput.

string plaintext = File.ReadAllText("C:\\Documents\\CryptoTest\\TestFile.txt");
            
// Define the encrypt input
var encryptInput = new EncryptInput
{
    Plaintext = plaintext,
    Keyring = keyring,
    EncryptionContext = encryptionContext
};

Use o Encrypt() método do AWS Encryption SDK para criptografar o texto simples usando o chaveiro que você definiu.

O EncryptOutput que o método Encrypt() retorna tem métodos para obter a mensagem criptografada (Ciphertext), o contexto de criptografia e o pacote de algoritmos.

var encryptOutput = encryptionSdk.Encrypt(encryptInput);

O Decrypt() método no AWS Encryption SDK formulário. NETpega o Ciphertext membro da EncryptOutput instância.

O membro Ciphertext do objeto EncryptOutput é a mensagem criptografada, um objeto portátil que inclui dados criptografados, chaves de dados criptografadas e metadados, incluindo o contexto de criptografia. É possível armazenar com segurança a mensagem criptografada por um período prolongado ou enviá-la ao método Decrypt() para recuperar o texto sem formatação.

var encryptedMessage = encryptOutput.Ciphertext;

// Instantiate the AWS Encryption SDK and material providers
var esdk =  new ESDK(new AwsEncryptionSdkConfig());
var mpl = new MaterialProviders(new MaterialProvidersConfig());

Para especificar os parâmetros do método do token de autenticação, crie um objeto de entrada. Cada método de chaveiro no formulário AWS Encryption SDK . NETtem um objeto de entrada correspondente. Como esse exemplo usa o método CreateAwsKmsKeyring() para criar o token de autenticação, ele instancia a classe CreateAwsKmsKeyringInput para a entrada.

Em um chaveiro de decodificação, você deve usar uma chave para identificar as chavesARN. KMS

string keyArn = "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab";

// Instantiate the keyring input object
var kmsKeyringInput = new CreateAwsKmsKeyringInput
{
    KmsClient = new AmazonKeyManagementServiceClient(),
    KmsKeyId = keyArn
};

Para criar o token de autenticação da descriptografia, este exemplo usa o método CreateAwsKmsKeyring() e o objeto de entrada do token de autenticação.

var keyring = materialProviders.CreateAwsKmsKeyring(kmsKeyringInput);

Para criar o objeto de entrada para o método Decrypt(), instancie a classe DecryptInput.

O parâmetro Ciphertext do construtor DecryptInput() usa o membro Ciphertext do objeto EncryptOutput que o método Encrypt() retornou. A propriedade Ciphertext representa a mensagem criptografada, que inclui os dados criptografados, as chaves de dados criptografadas e os metadados que o AWS Encryption SDK necessita para descriptografar a mensagem.

Com a versão 4. x do AWS Encryption SDK formulário. NET, você pode usar o EncryptionContext parâmetro opcional para especificar seu contexto de criptografia no Decrypt() método.

Use o parâmetro EncryptionContext para verificar se o contexto de criptografia usado na criptografia está incluído no contexto de criptografia usado para descriptografar o texto cifrado. AWS Encryption SDK Isso adiciona pares ao contexto de criptografia, incluindo a assinatura digital, se você estiver usando um conjunto de algoritmos com assinatura, como o conjunto de algoritmos padrão.

var encryptedMessage = encryptOutput.Ciphertext;

var decryptInput = new DecryptInput
{
    Ciphertext = encryptedMessage,
    Keyring = keyring,
    EncryptionContext = encryptionContext // OPTIONAL
};

var decryptOutput = encryptionSdk.Decrypt(decryptInput);

O Decrypt() método da versão 3. x do AWS Encryption SDK formulário. NETnão usa um contexto de criptografia. Ele obtém os valores do contexto de criptografia dos metadados na mensagem criptografada. No entanto, antes de retornar ou usar o texto simples, é recomendável verificar se o contexto de criptografia usado para descriptografar o texto cifrado inclui o contexto de criptografia que você forneceu ao criptografar.

Verifique se o contexto de criptografia usado na criptografia está incluído no contexto de criptografia usado para descriptografar o texto cifrado. AWS Encryption SDK Isso adiciona pares ao contexto de criptografia, incluindo a assinatura digital, se você estiver usando um conjunto de algoritmos com assinatura, como o conjunto de algoritmos padrão.

// Verify the encryption context
string contextKey = "purpose";
string contextValue = "test";

if (!decryptOutput.EncryptionContext.TryGetValue(contextKey, out var decryptContextValue)
    || !decryptContextValue.Equals(contextValue))
{
    throw new Exception("Encryption context does not match expected values");
}

// Instantiate the AWS Encryption SDK and material providers
var esdk =  new ESDK(new AwsEncryptionSdkConfig());
var mpl = new MaterialProviders(new MaterialProvidersConfig());

Para especificar os parâmetros do método do token de autenticação, crie um objeto de entrada. Cada método de chaveiro no formulário AWS Encryption SDK . NETtem um objeto de entrada correspondente. Como esse exemplo usa o método CreateAwsKmsDiscoveryKeyring() para criar o token de autenticação, ele instancia a classe CreateAwsKmsDiscoveryKeyringInput para a entrada.

List<string> accounts = new List<string> { "111122223333" };

var discoveryKeyringInput = new CreateAwsKmsDiscoveryKeyringInput
{
    KmsClient = new AmazonKeyManagementServiceClient(),
    DiscoveryFilter = new DiscoveryFilter()
    {
        AccountIds = accounts,
        Partition = "aws"
    }
};

Para criar o token de autenticação da descriptografia, este exemplo usa o método CreateAwsKmsDiscoveryKeyring() e o objeto de entrada do token de autenticação.

var discoveryKeyring = materialProviders.CreateAwsKmsDiscoveryKeyring(discoveryKeyringInput);

Para criar o objeto de entrada para o método Decrypt(), instancie a classe DecryptInput. O valor do parâmetro Ciphertext é o membro Ciphertext do objeto EncryptOutput que o método Encrypt() retorna.

Com a versão 4. x do AWS Encryption SDK formulário. NET, você pode usar o EncryptionContext parâmetro opcional para especificar seu contexto de criptografia no Decrypt() método.

Use o parâmetro EncryptionContext para verificar se o contexto de criptografia usado na criptografia está incluído no contexto de criptografia usado para descriptografar o texto cifrado. AWS Encryption SDK Isso adiciona pares ao contexto de criptografia, incluindo a assinatura digital, se você estiver usando um conjunto de algoritmos com assinatura, como o conjunto de algoritmos padrão.

var ciphertext = encryptOutput.Ciphertext;

var decryptInput = new DecryptInput
{
    Ciphertext = ciphertext,
    Keyring = discoveryKeyring,
    EncryptionContext = encryptionContext // OPTIONAL
    
};
var decryptOutput = encryptionSdk.Decrypt(decryptInput);

O Decrypt() método da versão 3. x do AWS Encryption SDK formulário. NETnão usa um contexto de criptografia ativadoDecrypt(). Ele obtém os valores do contexto de criptografia dos metadados na mensagem criptografada. No entanto, antes de retornar ou usar o texto simples, é recomendável verificar se o contexto de criptografia usado para descriptografar o texto cifrado inclui o contexto de criptografia que você forneceu ao criptografar.

Verifique se o contexto de criptografia usado na criptografia foi incluído no contexto de criptografia usado para descriptografar o texto cifrado. AWS Encryption SDK Isso adiciona pares ao contexto de criptografia, incluindo a assinatura digital, se você estiver usando um conjunto de algoritmos com assinatura, como o conjunto de algoritmos padrão.

// Verify the encryption context
string contextKey = "purpose";
string contextValue = "test";

if (!decryptOutput.EncryptionContext.TryGetValue(contextKey, out var decryptContextValue)
    || !decryptContextValue.Equals(contextValue))
{
    throw new Exception("Encryption context does not match expected values");
}