SSL/TLS オフロードが AWS CloudHSM と連携する仕組み

HTTPS 接続を確立するため、ウェブサーバーはクライアントとハンドシェークプロセスを実行します。次の図に示すように、このプロセスの一環として、サーバーはいくつかの暗号化処理を HSM にオフロードします。プロセスの各ステップについて、図の下に説明があります。

注記

次のイメージとプロセスでは、サーバーの検証とキーの交換に RSA を使用することを想定しています。RSA の代わりに Diffie-Hellman を使用する場合、手順が若干異なります。

1. クライアントはサーバーに Hello メッセージを送信します。

2. サーバーは Hello メッセージで応答し、サーバーの証明書を送信します。

3. クライアントは以下のアクションを実行します。

   1. SSL/TLS サーバーの証明書がクライアントの信頼するルート証明書により署名されていることを確認します。

   2. サーバーの証明書からパブリックキーを抽出します。

   3. プリマスタシークレットを生成し、サーバーのパブリックキーで暗号化します。

   4. 暗号化されたプリマスターシークレットをサーバーに送信します。

4. クライアントのプリマスターシークレットを復号するため、サーバーはそれを HSM に送信します。HSM は、HSM のプライベートキーを使用してプリマスターシークレットを復号し、プリマスターシークレットをサーバーに送信します。クライアントとサーバーはそれぞれ独立してプリマスターシークレットおよび Hello メッセージからのいくつかの情報を使用して、マスターシークレットを計算します。

5. ハンドシェイクプロセスは終了します。残りのセッションでは、クライアントとサーバーの間で送信されたすべてのメッセージは、マスターシークレットのデリバティブで暗号化されます。

AWS CloudHSM を使用して SSL/TLS オフロードを設定する方法については、以下のいずれかのトピックを参照してください。

• Linux 上の SSL/TLS オフロード

• Windows での SSL/TLS オフロードに IIS と CNG の使用