Come funzionano i keyring

La nostra libreria di crittografia lato client è stata rinominata Database Encryption SDK. AWS Questa guida per sviluppatori fornisce ancora informazioni sul DynamoDB Encryption Client.

Quando si crittografa e si firma un campo nel database, il Database Encryption SDK richiede al AWS portachiavi i materiali di crittografia. Il portachiavi restituisce una chiave dati in testo semplice, una copia della chiave dati crittografata da ciascuna delle chiavi di avvolgimento del portachiavi e una chiave MAC associata alla chiave dati. AWS Database Encryption SDK utilizza la chiave di testo semplice per crittografare i dati, quindi rimuove la chiave dati in chiaro dalla memoria il prima possibile. Quindi, AWS Database Encryption SDK aggiunge una descrizione del materiale che include le chiavi dei dati crittografati e altre informazioni, come le istruzioni di crittografia e firma. AWS Database Encryption SDK utilizza la chiave MAC per calcolare i codici di autenticazione dei messaggi basati su hash (HMAC) sulla canonicalizzazione della descrizione del materiale e di tutti i campi contrassegnati con o. ENCRYPT_AND_SIGN SIGN_ONLY

Quando decifri i dati, puoi utilizzare lo stesso portachiavi che hai usato per crittografare i dati o uno diverso. Per decrittografare i dati, un portachiavi di decrittografia deve avere accesso ad almeno una chiave di avvolgimento nel portachiavi di crittografia.

Il AWS Database Encryption SDK passa le chiavi dei dati crittografati dalla descrizione del materiale al portachiavi e chiede al portachiavi di decrittografarle tutte. Il keyring utilizza le chiavi di wrapping per decrittare una delle chiavi di dati crittografate e restituisce una chiave di dati di testo normale. Il AWS Database Encryption SDK utilizza la chiave dati in testo semplice per decrittografare i dati. Se nessuna delle chiavi di wrapping nel keyring è in grado di decrittare una qualsiasi delle chiavi di dati crittografate, l'operazione di decrittazione non riesce.

Puoi utilizzare un singolo keyring o combinarne più di uno dello stesso tipo o di tipi diversi in un keyring multiplo. Quando si crittografano i dati, il portachiavi multiplo restituisce una copia della chiave dati crittografata da tutte le chiavi di avvolgimento in tutti i portachiavi che comprendono il portachiavi multiplo e una chiave MAC associata alla chiave dati. È possibile decrittografare i dati utilizzando un portachiavi con una qualsiasi delle chiavi di avvolgimento del portachiavi multiplo.