AWS CloudHSM referensi atribut kunci untuk KMU

Perintah AWS CloudHSM key_mgmt_util menggunakan konstanta untuk mewakili atribut kunci dalam modul keamanan perangkat keras (HSM). Topik ini dapat membantu Anda untuk mengidentifikasi atribut, menemukan konstanta yang mewakilinya dalam perintah, dan memahami nilai-nilainya.

Anda mengatur atribut kunci saat Anda membuatnya. Untuk mengubah atribut token, yang menunjukkan apakah kunci persisten atau hanya ada di sesi tersebut, gunakan perintah setAttribute dalam key_mgmt_util. Untuk mengubah label, membungkus, membuka, mengenkripsi, atau mendekripsi atribut, gunakan setAttribute di cloudhsm_mgmt_util.

Untuk mendapatkan daftar atribut dan konstanta mereka, gunakan listAttributes. Untuk mendapatkan nilai atribut untuk kunci, gunakan getAttribute.

Tabel berikut mencantumkan atribut kunci, konstantanya, dan nilai-nilai yang valid.

Atribut	Konstan	Nilai
OBJ_ATTR_ALL	512	Mewakili semua atribut.
OBJ_ATTR_ALWAYS_SENSITIVE	357	0: Salah. 1: Benar.
OBJ_ATTR_CLASS	0	2: Kunci publik dalam pasangan kunci publik—privat. 3: Kunci privat dalam pasangan kunci publik—privat. 4: Kunci rahasia (simetris).
OBJ_ATTR_DECRYPT	261	0: Salah. 1: Benar. Kuncinya dapat digunakan untuk mendekripsi data.
OBJ_ATTR_DERIVE	268	0: Salah. 1: Benar. Fungsi asal kunci.
OBJ_ATTR_DESTROYABLE	370	0: Salah. 1: Benar.
OBJ_ATTR_ENCRYPT	260	0: Salah. 1: Benar. Kuncinya dapat digunakan untuk mengenkripsi data.
OBJ_ATTR_EXTRACTABLE	354	0: Salah. 1: Benar. Kuncinya dapat diekspor dari. HSMs
OBJ_ATTR_ID	258	String yang ditentukan pengguna. Harus unik di klaster. Default-nya adalah string kosong.
OBJ_ATTR_KCV	371	Nilai pemeriksaan kunci. Untuk informasi lebih lanjut, lihat Detail tambahan.
OBJ_ATTR_KEY_TYPE	256	0: RSA 1: DSA. 3: EC. 16: GENERIC_SECRET. 18: RC4. 21: Tiga DES (3DES). 31: AE.
OBJ_ATTR_LABEL	3	String yang ditentukan pengguna. Tidak harus unik di klaster.
OBJ_ATTR_LOCAL	355	0. Salah. Kuncinya diimpor ke HSMs. 1: Benar.
OBJ_ATTR_MODULUS	288	Modulus yang digunakan untuk menghasilkan pasangan kunci RSA Untuk kunci EC, nilai ini mewakili pengkodean DER dari nilai ANSI X9.62 “Q” dalam ECPoint format heksadesimal. Untuk jenis kunci lainnya, atribut ini tidak ada.
OBJ_ATTR_MODULUS_BITS	289	Panjang modulus yang digunakan untuk menghasilkan pasangan kunci RSA. Untuk kunci EC ini mewakili ID kurva elips yang digunakan untuk menghasilkan kunci. Untuk jenis kunci lainnya, atribut ini tidak ada.
OBJ_ATTR_NEVER_EXTRACTABLE	356	0: Salah. 1: Benar. Kunci tidak dapat diekspor dari. HSMs
OBJ_ATTR_PUBLIC_EXPONENT	290	Eksponen publik yang digunakan untuk menghasilkan pasangan kunci RSA. Untuk jenis kunci lainnya, atribut ini tidak ada.
OBJ_ATTR_PRIVATE	2	0: Salah. 1: Benar. Atribut ini menunjukkan apakah pengguna yang tidak terautentikasi dapat mendaftar atribut kunci. Karena penyedia PKCS#11 CloudHSM saat ini tidak mendukung sesi publik, semua kunci (termasuk kunci publik dalam pasangan kunci privat-publik) mengatur atribut ini ke 1.
OBJ_ATTR_SENSITIVE	259	0: Salah. Kunci publik dalam pasangan kunci publik-privat. 1: Benar.
OBJ_ATTR_SIGN	264	0: Salah. 1: Benar. Kuncinya bisa digunakan untuk penandatanganan (kunci privat).
OBJ_ATTR_TOKEN	1	0: Salah. Kunci sesi 1: Benar. Kunci yang persisten.
OBJ_ATTR_TRUSTED	134	0: Salah. 1: Benar.
OBJ_ATTR_UNWRAP	263	0: Salah. 1: Benar. Kuncinya dapat digunakan untuk mendekripsi kunci.
OBJ_ATTR_UNWRAP_TEMPLATE	1073742354	Nilai harus menggunakan templat atribut yang diterapkan untuk setiap kunci terbuka menggunakan kunci pembungkus ini.
OBJ_ATTR_VALUE_LEN	353	Panjang kunci dalam byte.
OBJ_ATTR_VERIFY	266	0: Salah. 1: Benar. Kuncinya dapat digunakan untuk verifikasi (kunci publik).
OBJ_ATTR_WRAP	262	0: Salah. 1: Benar. Kuncinya bisa digunakan untuk mengenkripsi kunci.
OBJ_ATTR_WRAP_TEMPLATE	1073742353	Nilai harus menggunakan template atribut untuk mencocokkan kunci yang dibungkus menggunakan kunci pembungkus ini.
OBJ_ATTR_WRAP_WITH_TRUSTED	528	0: Salah. 1: Benar.

Detail Tambahan

Nilai pemeriksaan kunci (KCV)

Nilai pemeriksaan kunci (KCV) adalah hash 3-byte atau checksum dari kunci yang dihasilkan ketika HSM mengimpor atau menghasilkan kunci. Anda juga dapat menghitung KCV di luar HSM, seperti setelah Anda mengekspor kunci. Anda kemudian dapat membandingkan nilai KCV untuk mengonfirmasi identitas dan integritas kunci. Untuk mendapatkan KCV kunci, gunakan getAttribute.

AWS CloudHSM menggunakan metode standar berikut untuk menghasilkan nilai cek kunci:

• Kunci simetris: 3 byte pertama hasil enkripsi blok nol dengan kunci.

• Pasangan kunci asimetris: 3 byte pertama dari hash SHA-1 dari kunci publik.

• Kunci HMAC: KCV untuk kunci HMAC tidak didukung saat ini.