Impostazione delle soglie di sicurezza della cache

Quando implementi il caching della chiave di dati, è necessario configurare le soglie di sicurezza che ilmemorizzazione nella cache CMMapplica.

Le soglie di sicurezza consentono di limitare per quanto tempo viene utilizzata ciascuna chiave di dati memorizzata nella cache e la quantità di dati protetta in ciascuna chiave di dati. Il CMM di memorizzazione nella cache restituisce le chiavi dei dati memorizzate nella cache solo quando la voce della cache è conforme a tutte le soglie di sicurezza. Se la voce della cache supera qualsiasi soglia, non viene utilizzata per l'operazione corrente e viene esclusa immediatamente dalla cache. Il primo utilizzo di ciascuna chiave di dati (prima del caching) è esente da queste soglie.

In generale, è possibile usare la quantità minima di caching obbligatoria per soddisfare gli obiettivi in termini di costi e prestazioni.

AWS Encryption SDK memorizza solo le chiavi dei dati che vengono crittografate utilizzando una funzione di derivazione della chiave. Inoltre, stabilisce i limiti massimi per alcuni valori di soglia. Queste restrizioni assicurano che le chiavi dei dati non vengano riutilizzate oltre i limiti crittografici. Tuttavia, poiché le chiavi di dati di testo non crittografato vengono memorizzate nella cache (in memoria, per impostazione predefinita), prova a ridurre al minimo il tempo durante il quale le chiavi vengono salvate. Inoltre, prova a limitare i dati che potrebbero essere esposti se una chiave è compromessa.

Per esempi di impostazione delle soglie di sicurezza della cache, vedereAWS Encryption SDK: Come decidere se il caching della chiave di dati è adatto alla tua applicazionenellaAWSBlog di sicurezza.

Nota

Il CMM del caching applica tutte le seguenti soglie. Se non si specifica un valore opzionale, il CMM del caching usa il valore predefinito.

Per disabilitare temporaneamente il caching della chiave di dati, le implementazioni Java e Python diAWS Encryption SDKfornire uncache null dei materiali crittografici(cache null). La cache null restituisce un vuoto per ogni richiesta GET e non risponde alle richieste PUT. È consigliabile utilizzare la cache null invece di impostare la capacità della cache o le soglie di sicurezza su 0. Per ulteriori informazioni, consulta gli argomenti relativi alla cache null in Java e Python.

Età massima (obbligatoria)

Stabilisce per quanto tempo può essere utilizzata una voce di cache, dal momento in cui è stata aggiunta. Questo valore è obbligatorio. Immetti un valore superiore a 0. L'AWS Encryption SDK non limita il valore massimo per l'età.

Tutte le implementazioni linguisticheAWS Encryption SDKdefinire l'età massima in secondi, tranne che perSDK di crittografia AWS per JavaScript, che utilizza millisecondi.

Utilizza l'intervallo più breve che consente ancora alla tua applicazione di trarre vantaggio dalla cache. È possibile usare la soglia dell'età massima come una policy di rotazione delle chiavi. Utilizzala per limitare il riutilizzo delle chiavi dei dati, ridurre al minimo l'esposizione di materiali crittografici ed eliminare le chiavi di dati le cui policy potrebbero essere cambiate mentre sono state memorizzate nella cache.

Il numero massimo di messaggi crittografati (opzionale)

Stabilisce il numero massimo di messaggi che una chiave di dati nella cache è in grado di crittografare. Questo valore è facoltativo. Inserisci un valore tra 1 e 2^32 messaggi. Il valore predefinito è 2^32 messaggi.

Imposta il numero di messaggi protetti da ciascuna chiave memorizzata nella cache in modo che sia sufficiente per ottenere valore dal riutilizzo, ma abbastanza contenuto per limitare il numero di messaggi che potrebbero essere esposti se una chiave è compromessa.

Il numero massimo di byte crittografati (opzionale)

Stabilisce il numero massimo di byte che una chiave di dati nella cache è in grado di crittografare. Questo valore è facoltativo. Inserisci un valore tra 0 e 2^63 - 1. Il valore predefinito è 2^63 - 1. Il valore 0 consente di utilizzare il caching della chiave di dati solo quando stai crittografando stringhe di messaggio vuote.

I byte nella richiesta corrente sono inclusi durante la valutazione di questa soglia. Se i byte elaborati, più i byte attuali, superano la soglia, la chiave di dati memorizzata viene rimossa dalla cache, anche se è possibile che sia stata utilizzata per una richiesta di dimensioni ridotte.