Mekanisme yang didukung untuk Klien SDK 3

Untuk informasi tentang antarmuka dan kelas mesin Java Cryptography Architecture (JCA) yang didukung oleh AWS CloudHSM, lihat topik berikut.

Kunci yang didukung

Pustaka perangkat lunak AWS CloudHSM untuk Java memungkinkan Anda untuk menghasilkan jenis kunci berikut.

• AES — 128, 192, dan 256-bit kunci AES.

• DeSede - Kunci 3DES 92 bit. Lihat catatan 1 di bawah untuk perubahan yang akan datang.

• Pasangan kunci ECC untuk kurva NIST secp256r1 (P-256), secp384r1 (P-384), dan secp256k1 (Rantai blok).

• RSA — 2048-bit sampai 4096-bit kunci RSA, dengan penambahan 256 bit.

Selain parameter standar, kami mendukung parameter berikut untuk setiap kunci yang dihasilkan.

• Label: Label kunci yang dapat Anda gunakan untuk mencari kunci.

• isExtractable: Menunjukkan apakah kunci dapat diekspor dari HSM.

• isPersistent: Menunjukkan apakah kunci tetap pada HSM ketika sesi saat berakhir.

catatan

Java library versi 3.1 menyediakan kemampuan untuk menentukan parameter secara lebih detail. Untuk informasi lebih lanjut, lihat Atribut Java yang Didukung.

Cipher yang didukung

Pustaka perangkat lunak AWS CloudHSM untuk Java mendukung algoritme, mode, dan kombinasi bantalan berikut.

Algoritme	Mode	Bantalan	Catatan
AES	CBC	AES/CBC/NoPadding AES/CBC/PKCS5Padding	Menerapkan Cipher.ENCRYPT_MODE dan Cipher.DECRYPT_MODE.
AES	ECB	AES/ECB/NoPadding AES/ECB/PKCS5Padding	Menerapkan Cipher.ENCRYPT_MODE dan Cipher.DECRYPT_MODE. Gunakan AES Transformasi.
AES	CTR	AES/CTR/NoPadding	Menerapkan Cipher.ENCRYPT_MODE dan Cipher.DECRYPT_MODE.
AES	GCM	AES/GCM/NoPadding	Menerapkan Cipher.ENCRYPT_MODE dan Cipher.DECRYPT_MODE, Cipher.WRAP_MODE, dan Cipher.UNWRAP_MODE. Ketika melakukan enkripsi AES-GCM, HSM mengabaikan vektor inisialisasi (IV) dalam permintaan dan menggunakan IV yang dihasilkannya. Saat operasi selesai, Anda harus memanggil Cipher.getIV() untuk mendapatkan IV.
AESWrap	ECB	AESWrap/ECB/ZeroPadding AESWrap/ECB/NoPadding AESWrap/ECB/PKCS5Padding	Menerapkan Cipher.WRAP_MODE dan Cipher.UNWRAP_MODE. Gunakan AES Transformasi.
DESede (Tiga DES)	CBC	DESede/CBC/NoPadding DESede/CBC/PKCS5Padding	Menerapkan Cipher.ENCRYPT_MODE dan Cipher.DECRYPT_MODE. Rutinitas pembuatan kunci menerima ukuran 168 atau 192 bit. Namun, secara internal, semua kunci DESede adalah 192 bit. Lihat catatan 1 di bawah untuk perubahan yang akan datang.
DESede (Tiga DES)	ECB	DESede/ECB/NoPadding DESede/ECB/PKCS5Padding	Menerapkan Cipher.ENCRYPT_MODE dan Cipher.DECRYPT_MODE. Rutinitas pembuatan kunci menerima ukuran 168 atau 192 bit. Namun, secara internal, semua kunci DESede adalah 192 bit. Lihat catatan 1 di bawah untuk perubahan yang akan datang.
RSA	ECB	RSA/ECB/NoPadding RSA/ECB/PKCS1Padding	Menerapkan Cipher.ENCRYPT_MODE dan Cipher.DECRYPT_MODE. Lihat catatan 1 di bawah untuk perubahan yang akan datang.
RSA	ECB	RSA/ECB/OAEPPadding RSA/ECB/OAEPWithSHA-1ANDMGF1Padding RSA/ECB/OAEPWithSHA-224ANDMGF1Padding RSA/ECB/OAEPWithSHA-256ANDMGF1Padding RSA/ECB/OAEPWithSHA-384ANDMGF1Padding RSA/ECB/OAEPWithSHA-512ANDMGF1Padding	Menerapkan Cipher.ENCRYPT_MODE, Cipher.DECRYPT_MODE, Cipher.WRAP_MODE, dan Cipher.UNWRAP_MODE. OAEPPadding adalah OAEP dengan jenis bantalan SHA-1.
RSAAESWrap	ECB	OAEPPADDING	Menerapkan Cipher.WRAP_Mode dan Cipher.UNWRAP_MODE.

Intisari yang didukung

Pustaka perangkat lunak AWS CloudHSM untuk Java mendukung digest pesan berikut.

• SHA-1

• SHA-224

• SHA-256

• SHA-384

• SHA-512

catatan

Data dengan panjang di bawah 16 KB di-hash pada HSM, sementara data yang lebih besar di-hash secara lokal dalam perangkat lunak.

Algoritma kode otentikasi pesan berbasis hash (HMAC) yang didukung

Pustaka perangkat lunak AWS CloudHSM untuk Java mendukung algoritme HMAC berikut.

• HmacSHA1

• HmacSHA224

• HmacSHA256

• HmacSHA384

• HmacSHA512

Mekanisme tanda/verifikasi yang didukung

Pustaka perangkat lunak AWS CloudHSM untuk Java mendukung jenis tanda tangan dan verifikasi berikut.

Jenis Tanda Tangan RSA

• NONEwithRSA

• SHA1withRSA

• SHA224withRSA

• SHA256withRSA

• SHA384withRSA

• SHA512withRSA

• SHA1withRSA/PSS

• SHA224withRSA/PSS

• SHA256withRSA/PSS

• SHA384withRSA/PSS

• SHA512withRSA/PSS

Jenis Tanda Tangan ECDSA

• NONEwithECDSA

• SHA1withECDSA

• SHA224withECDSA

• SHA256withECDSA

• SHA384withECDSA

• SHA512withECDSA

Anotasi mekanisme

[1] Dilarang setelah 2023 untuk kepatuhan FIPS sesuai panduan NIST. Lihat Kepatuhan FIPS 140: Penutupan Mekanisme 2024 untuk rincian selengkapnya.