静的マテリアルプロバイダー

-静的マテリアルプロバイダー(静的 CMP) は非常にシンプルです暗号化マテリアルプロバイダー(CMP) は、検証や概念実証のデモンストレーション、および従来の互換性を目的とした。

静的 CMP を使用してテーブル項目を暗号化するには、Advanced Encryption Standard (AES) 対称暗号化キーと署名キーまたはキーペアを指定します。暗号化された項目を復号するために同じキーを指定する必要があります。静的 CMP は暗号化オペレーションを実行しません。代わりに、項目エンクリプタに指定した暗号化キーをそのまま渡します。項目エンクリプタは、暗号化キーの直下の項目を暗号化します。次に、署名キーを直接使用して署名します。

静的 CMP は一意の暗号化マテリアルを生成しないため、処理するすべてのテーブル項目は同じ暗号化キーで暗号化され、同じ署名キーで署名されます。同じキーを使用して多数の項目の属性値を暗号化するか、同じキーまたはキーペアを使用してすべての項目に署名すると、キーの暗号化の制限を超える危険性があります。

注記

Java ライブラリ内の非対称静的プロバイダーは静的プロバイダーではありません。これは、ラップされた CMP の代替コンストラクタを指定するだけです。本稼働環境での使用は安全ですが、できるだけラップされた CMP を直接使用する必要があります。

スタティック CMP は、いくつかのうちの 1 つです。暗号化マテリアルプロバイダーDynamoDB 暗号化クライアントがサポートしている (CMP)。他の CMP の詳細については、「暗号化マテリアルプロバイダーを選択する方法」を参照してください。

サンプルコードについては、以下を参照してください。

• Java: SymmetricEncryptedItem

使用方法

静的なプロバイダーを作成するには、暗号化キーやキーペアおよび署名キーやキーペアを指定します。テーブル項目を暗号化および復号するには、キーマテリアルを指定する必要があります。

Java

// To encrypt
SecretKey cek = ...;        // Encryption key
SecretKey macKey =  ...;    // Signing key
EncryptionMaterialsProvider provider = new SymmetricStaticProvider(cek, macKey);

// To decrypt
SecretKey cek = ...;        // Encryption key
SecretKey macKey =  ...;    // Verification key
EncryptionMaterialsProvider provider = new SymmetricStaticProvider(cek, macKey);

Python

# You can provide encryption materials, decryption materials, or both
encrypt_keys = EncryptionMaterials(
    encryption_key = ...,
    signing_key = ...
)

decrypt_keys = DecryptionMaterials(
    decryption_key = ...,
    verification_key = ...
)

static_cmp = StaticCryptographicMaterialsProvider(
    encryption_materials=encrypt_keys
    decryption_materials=decrypt_keys
)

仕組み

静的プロバイダーは、指定した暗号化キーと署名キーを項目エンクリプタに渡します。ここで、これらのアイテムは、テーブル項目の暗号化と署名に直接使用されます。各項目に異なるキーを指定しない限り、すべての項目で同じキーが使用されます。

暗号化マテリアルを取得する

このセクションでは、暗号化マテリアルのリクエストを受け取る際の静的マテリアルプロバイダー (静的 CMP) の入力、出力、処理の詳細について説明します。

入力 (アプリケーションから)

• 暗号化キー — これは、などの対称キーであることが必要です。Advanced Encryption Standard(AES) キー。

• 署名キー — これは、対称キーまたは非対称key pair です。

入力 (項目エンクリプタから)

• DynamoDB 暗号化コンテキスト

出力 (項目エンクリプタへ)

• 入力として渡される暗号化キー。

• 入力として渡される署名キー。

• 実際のマテリアル記述: -リクエストされたマテリアル説明。存在する場合は、変更されません。

表示を増やす表示を減らす

復号マテリアルを取得する

このセクションでは、復号マテリアルのリクエストを受け取る際の静的マテリアルプロバイダー (静的 CMP) の入力、出力、処理の詳細について説明します。

暗号化マテリアルの取得と、復号マテリアルの取得のための異なるメソッドが含まれていますが、動作は同じです。

入力 (アプリケーションから)

• 暗号化キー — これは、などの対称キーであることが必要です。Advanced Encryption Standard(AES) キー。

• 署名キー — これは、対称キーまたは非対称key pair です。

入力 (項目エンクリプタから)

• DynamoDB 暗号化コンテキスト(未使用)

出力 (項目エンクリプタへ)

• 入力として渡される暗号化キー。

• 入力として渡される署名キー。

表示を増やす表示を減らす