Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Verwendung vertrauenswürdiger Schlüssel in AWS CloudHSM
AWS CloudHSM unterstützt Trusted Key Wrapping, um Datenschlüssel vor Insider-Bedrohungen zu schützen. In diesem Thema wird beschrieben, wie Vertrauenswürdige Schlüssel zum Schutz von Daten erstellt werden.
Themen
Grundlegendes zu vertrauenswürdigen Schlüsseln
Ein vertrauenswürdiger Schlüssel ist ein Schlüssel, der zum Umschließen anderer Schlüssel verwendet wird und den Administratoren und Cryptographic Officers (COs) anhand dieses Attributs CKA_TRUSTED
ausdrücklich als vertrauenswürdig identifizieren. Darüber hinaus geben Administratoren und Cryptographic Officers (COs) anhand von CKA_UNWRAP_TEMPLATE
und verwandter Attribute an, welche Aktionen Datenschlüssel ausführen können, wenn sie durch einen vertrauenswürdigen Schlüssel entpackt wurden. Datenschlüssel, die durch den vertrauenswürdigen Schlüssel entpackt wurden, müssen auch diese Attribute enthalten, damit der Entpackvorgang erfolgreich ist. Dadurch wird sichergestellt, dass entpackte Datenschlüssel nur für die von Ihnen beabsichtigte Verwendung zulässig sind.
Verwenden Sie das Attribut CKA_WRAP_WITH_TRUSTED
, um alle Datenschlüssel zu identifizieren, die Sie mit vertrauenswürdigen Schlüsseln umschließen möchten. Auf diese Weise können Sie Datenschlüssel einschränken, sodass Anwendungen nur vertrauenswürdige Schlüssel verwenden können, um sie zu entpacken. Sobald Sie dieses Attribut für die Datenschlüssel festgelegt haben, ist das Attribut schreibgeschützt und kann nicht mehr geändert werden. Wenn diese Attribute vorhanden sind, können Anwendungen Ihre Datenschlüssel nur mit den Schlüsseln entpacken, denen Sie vertrauen, und Entpackungen führen immer zu Datenschlüsseln mit Attributen, die einschränken, wie diese Schlüssel verwendet werden können.
Vertrauenswürdige Schlüsselattribute
Mit den folgenden Attributen können Sie einen Schlüssel als vertrauenswürdig markieren, angeben, dass ein Datenschlüssel nur mit einem vertrauenswürdigen Schlüssel ein- und ausgepackt werden kann, und steuern, was ein Datenschlüssel nach dem Entpacken tun kann:
-
CKA_TRUSTED
: Wenden Sie dieses Attribut (zusätzlich zuCKA_UNWRAP_TEMPLATE
) auf den Schlüssel an, der Datenschlüssel umhüllt, um anzugeben, dass ein Administrator oder Crypto Officer (CO) die erforderliche Sorgfalt walten lässt und diesem Schlüssel vertraut. Nur ein Administrator oder CO kannCKA_TRUSTED
einstellen. Der Crypto-Benutzer (CU) besitzt den Schlüssel, aber nur ein CO kann seinCKA_TRUSTED
-Attribut festlegen. -
CKA_WRAP_WITH_TRUSTED
: Wenden Sie dieses Attribut auf einen exportierbaren Datenschlüssel an, um anzugeben, dass Sie diesen Schlüssel nur mit Schlüsseln umschließen können, die alsCKA_TRUSTED
markiert sind. Sobald SieCKA_WRAP_WITH_TRUSTED
auf „true“ setzen, wird das Attribut schreibgeschützt und Sie können das Attribut nicht mehr ändern oder entfernen. -
CKA_UNWRAP_TEMPLATE
: Wenden Sie dieses Attribut (zusätzlich zuCKA_TRUSTED
) auf den Wrapping-Schlüssel an, um anzugeben, welche Attributnamen und -werte der Service automatisch auf Datenschlüssel anwenden muss, die der Dienst entpackt. Wenn eine Anwendung einen Schlüssel zum Entpacken einreicht, kann sie auch ihre eigene Entpackungsvorlage bereitstellen. Wenn Sie eine Unwrap-Vorlage angeben und die Anwendung eine eigene Unwrap-Vorlage bereitstellt, verwendet das HSM beide Vorlagen, um Attributnamen und -werte auf den Schlüssel anzuwenden. Wenn jedoch ein Wert in derCKA_UNWRAP_TEMPLATE
für den Wrapping-Schlüssel mit einem Attribut kollidiert, das von der Anwendung während der Unwrap-Anfrage bereitgestellt wird, schlägt die Unwrap-Anfrage fehl.
Weitere Informationen über Attribute finden Sie in den folgenden Themen:
Wie verwendet man vertrauenswürdige Schlüssel, um Datenschlüssel zu umschließen
Um einen vertrauenswürdigen Schlüssel zum Umschließen eines Datenschlüssels zu verwenden, müssen Sie drei grundlegende Schritte ausführen:
Für den Datenschlüssel, den Sie mit einem vertrauenswürdigen Schlüssel umschließen möchten, setzen Sie dessen
CKA_WRAP_WITH_TRUSTED
-Attribut auf „true“.Setzen Sie für den vertrauenswürdigen Schlüssel, mit dem Sie den Datenschlüssel umschließen möchten, dessen
CKA_TRUSTED
-Attribut auf „true“.Verwenden Sie den vertrauenswürdigen Schlüssel, um den Datenschlüssel zu umschließen.
Schritt 1: Das Datenschlüsselattribut CKA_WRAP_WITH_TRUSTED
auf „true“ setzen
Wählen Sie für den Datenschlüssel, den Sie umschließen möchten, eine der folgenden Optionen, um das CKA_WRAP_WITH_TRUSTED
-Schlüsselattribut auf „true“ zu setzen. Dadurch wird der Datenschlüssel eingeschränkt, so dass Anwendungen nur vertrauenswürdige Schlüssel verwenden können, um ihn zu verschlüsseln.
Option 1: Wenn Sie einen neuen Schlüssel generieren, setzen Sie CKA_WRAP_WITH_TRUSTED
auf „true“
Generieren Sie einen Schlüssel mit PKCS #11, JCE oder CloudHSM-CLI. Weitere Einzelheiten finden Sie in den folgenden Beispielen.
Option 2: Wenn Sie einen vorhandenen Schlüssel verwenden, verwenden Sie die CloudHSM CLI, um CKA_WRAP_WITH_TRUSTED
auf „true“ zu setzen
Gehen Sie wie folgt vor, um das CKA_WRAP_WITH_TRUSTED
-Attribut eines vorhandenen Schlüssels auf „true“ zu setzen:
Verwenden Sie den login-Befehl, um sich als Crypto-Benutzer (CU) anzumelden.
Verwenden Sie den key set-attribute-Befehl, um das
wrap-with-trusted
-Schlüsselattribut auf „true“ zu setzen.aws-cloudhsm >
key set-attribute --filter attr.label=test_key --name wrap-with-trusted --value true
{ "error_code": 0, "data": { "message": "Attribute set successfully" } }
Schritt 2: Festlegen von CKA_TRUSTED
des vertrauenswürdigen Schlüssels auf „true“
Um einen Schlüssel zu einem vertrauenswürdigen Schlüssel zu machen, muss sein CKA_TRUSTED
-Attribut auf „true“ gesetzt werden. Sie können dazu entweder CloudHSM-CLI oder das CloudHSM Management Utility (CMU) verwenden.
Wenn Sie die CloudHSM-CLI verwenden, um das
CKA_TRUSTED
-Attribut eines Schlüssels festzulegen, finden Sie weitere Informationen unter So markieren Sie einen Schlüssel mit CloudHSM CLI als vertrauenswürdig.Wenn Sie die CMU verwenden, um das
CKA_TRUSTED
-Attribut eines Schlüssels festzulegen, finden Sie weitere Informationen unter So kennzeichnen Sie einen Schlüssel mit der CMU als vertrauenswürdig.
Schritt 3. Verwenden Sie den vertrauenswürdigen Schlüssel, um den Datenschlüssel zu umschließen
Codebeispiele finden Sie unter den folgenden Links, um den in Schritt 1 referenzierten Datenschlüssel mit dem vertrauenswürdigen Schlüssel zu verbinden, den Sie in Schritt 2 festgelegt haben. In jedem Beispiel wird gezeigt, wie Schlüssel umgebrochen werden.
Wie entpacke ich einen Datenschlüssel mit einem vertrauenswürdigen Schlüssel
Um einen Datenschlüssel zu entpacken, benötigen Sie einen vertrauenswürdigen Schlüssel, für den CKA_UNWRAP
auf „true“ gesetzt ist. Um ein solcher Schlüssel zu sein, muss er auch folgende Kriterien erfüllen:
Das
CKA_TRUSTED
-Attribut des Schlüssels muss auf „true“ gesetzt werden.Der Schlüssel muss anhand von
CKA_UNWRAP_TEMPLATE
und verwandter Attribute angeben, welche Aktionen Datenschlüssel ausführen können, wenn sie entpackt wurden. Wenn Sie beispielsweise möchten, dass ein entpackter Schlüssel nicht exportierbar ist, legen SieCKA_EXPORTABLE = FALSE
als Teil vonCKA_UNWRAP_TEMPLATE
fest.
Anmerkung
CKA_UNWRAP_TEMPLATE
ist nur mit PKCS #11 verfügbar.
Wenn eine Anwendung einen Schlüssel zum Entpacken einreicht, kann die Anwendung auch ihre eigene Unwrap-Vorlage bereitstellen. Wenn Sie eine Unwrap-Vorlage angeben und die Anwendung eine eigene Unwrap-Vorlage bereitstellt, verwendet das HSM beide Vorlagen, um Attributnamen und -werte auf den Schlüssel anzuwenden. Wenn jedoch während der Entpackungsanforderung ein Wert in CKA_UNWRAP_TEMPLATE
des vertrauenswürdigen Schlüssels mit einem von der Anwendung bereitgestellten Attribut in Konflikt gerät, schlägt die Entpackungsanforderung fehl.
Ein Beispiel für das Entpacken eines Datenschlüssels mit einem vertrauenswürdigen Schlüssel finden Sie in diesem PKCS-#11-Beispiel