データの復号化

Decrypt DataAPI は、DUKPT や EMV の派生キーだけでなく、対称データ暗号化キーと非対称データ暗号化キーを使用してデータを復号化するために使用されます。TDES や RSA、AES など、さまざまなアルゴリズムとバリエーションをサポートしています。

主な入力は、データの復号化に使用される復号化キー、復号化対象の HexBinary 形式の暗号文データ、および初期化ベクトルやブロック暗号モードなどの復号化属性です。主な出力には、HexBinary 形式のプレーンテキストとして復号化されたデータと、復号キーのチェックサム値が含まれます。使用可能なすべてのオプションの詳細については、「復号用 API ガイド」を参照してください。

AES 対称キーを使用したデータの復号化

この例では、対称鍵を使用して暗号文データを復号化します。AESこの例では鍵を示していますが、ともサポートされています。TDES_2KEY TDES_3KEYこの操作では、Decryptキーがに設定され、 KeyModesOfUse KeyUsage がに設定されている必要がありますTR31_D0_SYMMETRIC_DATA_ENCRYPTION_KEY。その他のオプションについては、「暗号化オペレーション用キー」を参照してください。

$ aws payment-cryptography-data decrypt-data --key-identifier arn:aws:payment-cryptography:us-east-2:111122223333:key/tqv5yij6wtxx64pi --cipher-text 33612AB9D6929C3A828EB6030082B2BD --decryption-attributes 'Symmetric={Mode=CBC}'
        

         
{
    "KeyArn": "arn:aws:payment-cryptography:us-east-2:111122223333:key/tqv5yij6wtxx64pi",
    "KeyCheckValue": "71D7AE",
    "PlainText": "31323334313233343132333431323334"
}
        
        

DUKPT キーを使用したデータの復号化

注記

DUKPT で復号データを P2PE トランザクションに使用すると、PCI DSS の範囲を決定する際に考慮する必要があるクレジットカード PAN やその他のカード会員データがアプリケーションに返される可能性があります。

この例では、オペレーションを使用して作成された、またはオペレーションを使用してインポートされた DUKPT キーを使用して暗号文データを復号化します。CreateKeyImportKeyこの操作では、キーがに設定され、がに設定されている必要があります。 KeyModesOfUse DeriveKey KeyUsage TR31_B0_BASE_DERIVATION_KEYその他のオプションについては、「暗号化オペレーション用キー」を参照してください。TDESアルゴリズムを使用する場合DUKPT、暗号文データ長は 16 バイトの倍数でなければなりません。AESアルゴリズムの場合、暗号文データ長は 32 バイトの倍数でなければなりません。

$ aws payment-cryptography-data decrypt-data --key-identifier arn:aws:payment-cryptography:us-east-2:111122223333:key/tqv5yij6wtxx64pi --cipher-text 33612AB9D6929C3A828EB6030082B2BD --decryption-attributes 'Dukpt={KeySerialNumber=FFFF9876543210E00001}'
        

         
{
    "KeyArn": "arn:aws:payment-cryptography:us-east-2:111122223333:key/tqv5yij6wtxx64pi",
    "KeyCheckValue": "71D7AE",
    "PlainText": "31323334313233343132333431323334"
}
        
        

EMV から派生した対称鍵を使用してデータを復号化します。

この例では、操作を使用して作成された、または操作を使用してインポートされた EMV 由来の対称鍵を使用して暗号文データを復号化します。CreateKeyImportKeyこの操作では、キーがまたはに設定され、かに設定されている必要があります。 KeyModesOfUse Derive KeyUsage TR31_E1_EMV_MKEY_CONFIDENTIALITY TR31_E6_EMV_MKEY_OTHER詳細については、「暗号化操作用のキー」を参照してください。

$ aws payment-cryptography-data decrypt-data --key-identifier arn:aws:payment-cryptography:us-east-2:111122223333:key/tqv5yij6wtxx64pi --cipher-text 33612AB9D6929C3A828EB6030082B2BD --decryption-attributes 'Emv={MajorKeyDerivationMode=EMV_OPTION_A,PanSequenceNumber=27,PrimaryAccountNumber=1000000000000432,SessionDerivationData=02BB000000000000, InitializationVector=1500000000000999,Mode=CBC}'
    

{
"KeyArn": "arn:aws:payment-cryptography:us-east-2:111122223333:key/tqv5yij6wtxx64pi",
"KeyCheckValue": "71D7AE",
"PlainText": "31323334313233343132333431323334"
}

RSA キーを使用してデータを復号化します。

この例では、オペレーションを使用して作成された RSA key pair を使用して暗号文データを復号化します。CreateKeyこの操作では、キーが有効に設定され、 KeyModesOfUse に設定されている必要があります。Decrypt KeyUsage TR31_D1_ASYMMETRIC_KEY_FOR_DATA_ENCRYPTIONその他のオプションについては、「暗号化オペレーション用キー」を参照してください。

PKCS #7 または現在サポートされているないその他のパディングスキームについては、パディングインジケータ 「'Asymmetric= {}'」 を省略してパディングなしを選択し、サービスを呼び出したらパディングを削除してください。

$ aws payment-cryptography-data decrypt-data \ 
        --key-identifier arn:aws:payment-cryptography:us-east-2:111122223333:key/5dza7xqd6soanjtb --cipher-text 8F4C1CAFE7A5DEF9A40BEDE7F2A264635C... \ 
        --decryption-attributes 'Asymmetric={PaddingType=OAEP_SHA256}'
    

{
    "KeyArn": "arn:aws:payment-cryptography:us-east-1:529027455495:key/5dza7xqd6soanjtb",
    "KeyCheckValue": "FF9DE9CE",
    "PlainText": "31323334313233343132333431323334"
}