Referência de atributos de chave

Os comandos da key_mgmt_util usam constantes para representar os atributos de chaves em um HSM. Este tópico pode ajudá-lo a identificar os atributos, encontrar as constantes que os representam nos comandos e entender seus valores.

Você define os atributos de uma chave ao criá-la. Para alterar o atributo de token, que indica se uma chave é persistente ou existe apenas na sessão, use o comando setAttribute na key_mgmt_util . Para alterar os atributos de rótulos, encapsulamento, desencapsulamento, criptografia e descriptografia, use o comando setAttribute em cloudhsm_mgmt_util.

Para obter uma lista de atributos e suas constantes, use listAttributes. Para obter os valores dos atributos de uma chave, use getAttribute.

A tabela a seguir lista os atributos-chave, suas constantes e seus valores válidos.

Atributo	Constante	Valores
OBJ_ATTR_ALL	512	Representa todos os atributos.
OBJ_ATTR_ALWAYS_SENSITIVE	357	0: False. 1: True.
OBJ_ATTR_CLASS	0	2: Chave pública em um par de chaves privadapública. 3: Chave privada em um par de chaves privadapública. 4: Chave secreta (simétrica).
OBJ_ATTR_DECRYPT	261	0: False. 1: True. A chave pode ser usada para descriptografar dados.
OBJ_ATTR_DERIVE	268	0: False. 1: True. A função gera a chave.
OBJ_ATTR_DESTROYABLE	370	0: False. 1: True.
OBJ_ATTR_ENCRYPT	260	0: False. 1: True. A chave pode ser usada para criptografar dados.
OBJ_ATTR_EXTRACTABLE	354	0: False. 1: True. A chave pode ser exportada dos HSMs.
OBJ_ATTR_ID	258	String definida pelo usuário. Deve ser exclusivo no cluster. O padrão é uma string vazia.
OBJ_ATTR_KCV	371	Valor de verificação da chave. Para obter mais informações, consulte Detalhes adicionais.
OBJ_ATTR_KEY_TYPE	256	0: RSA. 1: DSA. 3: EC. 16: Segredo genérico. 18: RC4. 21: Triple DES (3DES). 31: AES.
OBJ_ATTR_LABEL	3	String definida pelo usuário. Ele não precisa ser exclusivo no cluster.
OBJ_ATTR_LOCAL	355	0. Falso. A chave foi importada para os HSMs. 1: True.
OBJ_ATTR_MODULUS	288	O módulo que foi usado para gerar um par de chaves RSA. Para chaves EC, este valor representa a codificação DER do valor ANSI X9.62 ECPoint “Q” em formato hexadecimal. Para outros tipos de chave, esse atributo não existe.
OBJ_ATTR_MODULUS_BITS	289	O comprimento do módulo utilizado para gerar um par de chaves RSA. Para chaves EC, isso representa o ID da curva elíptica usada para gerar a chave. Para outros tipos de chave, esse atributo não existe.
OBJ_ATTR_NEVER_EXTRACTABLE	356	0: False. 1: True. Não é possível exportar a chave dos HSMs.
OBJ_ATTR_PUBLIC_EXPONENT	290	O expoente público usado para gerar um par de chaves RSA. Para outros tipos de chave, esse atributo não existe.
OBJ_ATTR_PRIVATE	2	0: False. 1: True. Este atributo indica se os usuários não autenticados podem listar os atributos da chave. Como o provedor PKCS#11 do CloudHSM atualmente não oferece suporte a sessões públicas, todas as chaves (incluindo chaves públicas em um par de chaves públicas/privadas) têm esse atributo definido como 1.
OBJ_ATTR_SENSITIVE	259	0: False. Chave pública em um par de chaves privada-pública. 1: True.
OBJ_ATTR_SIGN	264	0: False. 1: True. A chave pode ser usada para assinatura (chaves privadas).
OBJ_ATTR_TOKEN	1	0: False. Chave de sessão. 1: True. Chave persistente.
OBJ_ATTR_TRUSTED	134	0: False. 1: True.
OBJ_ATTR_UNWRAP	263	0: False. 1: True. A chave pode ser usada para descriptografar chaves.
OBJ_ATTR_UNWRAP_TEMPLATE	1073742354	Os valores devem usar o modelo de atributo aplicado a todas as chaves desencapsuladas com essa chave de encapsulamento.
OBJ_ATTR_VALUE_LEN	353	Tamanho da chave em bytes.
OBJ_ATTR_VERIFY	266	0: False. 1: True. A chave pode ser usada para verificação (chaves públicas).
OBJ_ATTR_WRAP	262	0: False. 1: True. A chave pode ser usada para criptografar chaves.
OBJ_ATTR_WRAP_TEMPLATE	1073742353	Os valores devem usar o modelo de atributo para corresponder à chave encapsulada usando essa chave de encapsulamento.
OBJ_ATTR_WRAP_WITH_TRUSTED	528	0: False. 1: True.

Detalhes adicionais

Valor de verificação de chave (KCV)

O key check value (KCV – valor de verificação de chave) é um hash de 3 bytes ou soma de verificação de uma chave gerada quando o HSM importa ou gera uma chave. Você também pode calcular um KCV fora do HSM, como depois de exportar uma chave. Em seguida, é possível comparar os valores do KCV para confirmar a identidade e a integridade da chave. Para obter o KCV de uma chave, use getAttribute.

AWS CloudHSM usa o seguinte método padrão para gerar um valor de verificação de chave:

• Chaves simétricas: primeiros 3 bytes do resultado da criptografia de um bloco zero com a chave.

• Pares de chaves assimétricas: primeiros 3 bytes do hash SHA-1 da chave pública.

• Chaves HMAC: o KCV para chaves HMAC não é suportado no momento.