本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。
具有不相容長度的自訂 IV,適用於 AES 金鑰包裝
此故障診斷主題可協助您判斷應用程式是否產生無法復原的包裝金鑰。如果您受到此問題的影響,請使用本主題來解決問題。
確定代碼是否生成不可復原的包裝金鑰。
只有當您符合以下所有條件時,您才會受到影響:
條件 | 如何知道? |
---|---|
應用程式使用 PKCS #11 程式庫 |
PKCS #11 程式庫會以 |
您的應用程式專門使用 3.0.0 版的 PKCS #11 程式庫 |
如果您收到來自 AWS CloudHSM 團隊的電子郵件,您可能正在使用 PKCS #11 程式庫的 3.0.0 版。 若要檢查應用程式執行個體上的軟體版本,請使用以下指令:
|
您可以使用 AES 金鑰包裝來包裝金鑰 |
AES 金鑰包裝意味著您使用 AES 金鑰來包裝一些其他金鑰。對應的機制名稱為 |
調用 AES 金鑰包裝時指定自定義 IV,並且此 IV 的長度小於 8 |
AES 金鑰包裝通常使用如下
只有在以下情況下此問題才適用於您:
|
如果您不符合上述所有條件,則可以立即停止閱讀。您包裝的金鑰可以正確解開包裝,並且此問題不會影響您。否則,請參閱 如果代碼生成不可復原的包裝金鑰,則必須採取的動作。
如果代碼生成不可復原的包裝金鑰,則必須採取的動作
您應該採取以下三個步驟:
-
立即將 PKCS #11 程式庫升級到較新的版本
-
更新您的軟體以使用符合標準的 IV
強烈建議您遵循我們的範例程式碼,並直接指定 NULL IV,這會導致 HSM 使用符合標準的預設 IV。或者,您也可以明確指定 IV 與
0xA6A6A6A6A6A6A6A6
對應的8
IV 長度。不建議使用任何其他 IV 進行 AES 金鑰包裝,並且會在未來版本的 PKCS #11 程式庫中明確禁用用於 AES 金鑰包裝的自定義 IV。正確指定 IV 的範例程式碼會出現在上的 aes_W
rap .c 中。 GitHub -
識別和恢復現有包裝的金鑰
您應該識別使用 3.0.0 版的 PKCS #11 程式庫包裝的任何金鑰,然後聯絡支援人員以尋求協助 (https://aws.amazon.com/support
) 以復原這些金鑰。
重要
此問題只會影響以 3.0.0 版的 PKCS #11 程式庫包裝的金鑰。您可以使用舊版 PKCS #11 程式庫 (2.0.4 和較低編號的套件) 或更新版本 (3.0.1 和更高編號的套件) 來包裝金鑰。